CVE-2021-26920
Açıklama
Druid veri alım sisteminde, InputSource belirli bir veri kaynağından veri okumak için kullanılır. Ancak, HTTP InputSource, kimliği doğrulanmış kullanıcıların yerel dosya sistemi gibi amaçlanan kaynaklar dışındaki verileri Druid sunucu işlemi ayrıcalıklarıyla okumasına izin verir. Kullanıcılar Druid'e doğrudan eriştiğinde bu bir yetki yükseltmesi değildir, çünkü Druid aynı düzeyde erişime izin veren Local InputSource'u da sağlar. Fakat kullanıcıların, HTTP InputSource belirtilmesine izin veren ancak Local InputSource'a izin vermeyen bir uygulama aracılığıyla Druid ile dolaylı olarak etkileşime girdiği durumlar sorunludur. Bu durumda kullanıcılar, HTTP InputSource'a bir dosya URL'si ileterek uygulama düzeyindeki kısıtlamayı atlayabilirler.
Nasıl düzeltilir
- apache druid0.22.0 ya da sonraki bir sürüm
- fast-xml-parser4.1.2 ya da sonraki bir sürüm
- org.apache.druid:druid-core0.21.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache druid | v < 0.22.0 | 0.22.0 |
| fast-xml-parsernpm | v < 4.1.2 | 4.1.2 |
| org.apache.druid:druid-coreMaven | v < 0.21.0 | 0.21.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.