CVE-2021-36749
Açıklama
Druid veri alım sisteminde, belirli bir veri kaynağından veri okumak için InputSource kullanılır. Ancak, HTTP InputSource, kimliği doğrulanmış kullanıcıların yerel dosya sistemi gibi amaçlanan kaynaklar dışındaki verileri Druid sunucu işlemi ayrıcalıklarıyla okumasına izin verir. Kullanıcılar Druid'e doğrudan eriştiğinde bu durum bir yetki yükseltmesi değildir çünkü Druid aynı düzeyde erişime izin veren Local InputSource'u da sağlar. Fakat kullanıcıların, HTTP InputSource belirtilmesine izin veren ancak Local InputSource'a izin vermeyen bir uygulama aracılığıyla Druid ile dolaylı olarak etkileşime girdiği durumlarda bu sorun problemlidir. Bu durumda kullanıcılar, HTTP InputSource'a bir dosya URL'si göndererek uygulama düzeyindeki kısıtlamayı atlayabilirler. Bu sorun daha önce CVE-2021-26920 uyarınca 0.21.0 sürümünde düzeltildiği belirtilmişti ancak 0.21.0 veya 0.21.1 sürümlerinde düzeltilmemiştir.
Nasıl düzeltilir
- apache druid0.22.0 ya da sonraki bir sürüm
- org.apache.druid:druid-core0.22.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache druid | v < 0.22.0 | 0.22.0 |
| org.apache.druid:druid-coreMaven | v < 0.22.0 | 0.22.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.