CVE-2025-27888
Açıklama
Şiddet: orta (5.8) / önemli Apache Druid üzerinde Sunucu Taraflı İstek Sahteciliği (SSRF), Web Sayfası Oluşturma Sırasında Girdinin Uygun Şekilde Etkisizleştirilmemesi ('Siteler Arası Betik Çalıştırma (XSS)') ve Güvenilmeyen Siteye URL Yönlendirmesi ('Açık Yönlendirme') zafiyetleri bulunmaktadır. Bu sorun tüm önceki Druid sürümlerini etkilemektedir. Druid yönetim proxy'si kullanılırken, özel olarak hazırlanmış bir URL içeren istek, isteği rastgele bir sunucuya yönlendirmek için kullanılabilir. Bu durum XSS veya XSRF potansiyeline sahiptir. Bu istismarın gerçekleştirilmesi için kullanıcının kimliğinin doğrulanmış olması gerekir. Yönetim proxy'si, Druid'in kutudan çıktığı haliyle yapılandırmasında etkindir. Bu zafiyeti hafifletmek için devre dışı bırakılabilir. Yönetim proxy'si devre dışı bırakılırsa bazı web konsolu özellikleri düzgün çalışmayacaktır ancak temel işlevsellik etkilenmez. Kullanıcıların sorunu gideren Druid 31.0.2 veya Druid 32.0.1 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache druid31.0.2 ya da sonraki bir sürüm
- org.apache.druid:druid31.0.2, 32.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache druid | v < 31.0.2 | 31.0.2 |
| org.apache.druid:druidMaven | v < 31.0.2, 32.0.0 ≤ v < 32.0.1 | 31.0.2, 32.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.