CVE-2024-45537
Açıklama
Apache Druid, belirli izinlere sahip kullanıcıların JDBC kullanarak diğer veritabanı sistemlerinden veri okumasına olanak tanır. Bu işlevsellik, güvenilir kullanıcıların Druid lookup'ları kurmasına veya veri alım görevleri çalıştırmasına imkan verir. Druid ayrıca yöneticilerin, kullanıcıların JDBC bağlantıları için sağlayabileceği izin verilen özelliklerin bir listesini yapılandırmasına izin verir. Varsayılan olarak bu izin verilen özellikler listesi, kullanıcıları yalnızca TLS ile ilgili özelliklerle sınırlar. Ancak, bir MySQL JDBC bağlantısı yapılandırırken kullanıcılar, bu izin listesinde yer almayan özellikleri sağlamak için özel olarak hazırlanmış bir JDBC bağlantı dizesi kullanabilirler. JDBC bağlantılarını yapılandırma izni olmayan kullanıcılar bu zafiyeti istismar edemezler. CVE-2021-26919, Apache Druid 0.20.2 sürümünde kısmen giderilen benzer bir zafiyeti tanımlamaktadır. Bu sorun Apache Druid 30.0.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- apache druid30.0.1 ya da sonraki bir sürüm
- org.apache.druid:druid30.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache druid | v < 30.0.1 | 30.0.1 |
| org.apache.druid:druidMaven | v < 30.0.1 | 30.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.