Apache Druid远程代码执行缝隙（CVE-2021-25646）

颁布功夫 2021-02-01

0x00 缝隙概述

CVE  ID

CVE-2021-25646

时  间

2021-02-01

类   型

RCE

等  级

高危

远程利用

是

影响领域

Apache Druid <= 0.20.0

 

0x01 缝隙详情

image.png

 

Apache Druid是专为大数据集的急剧切片分析（OLAP查问）而设计的高机能实时辰析数据库。

2021年01月30日，Apache官方颁布安全布告，公开了Druid中的一个远程代码执行缝隙（CVE-2021-25646）。

Apache Druid可能执行嵌入在各种类型的要求中的用户提供的JavaScript代码，默认情况下该职能是禁用的。但在Druid 0.20.0及之前的版本中，不论该职能是否启用，经过认证的用户能够发送恶意要求来使Druid强造运行该要求中的JavaScript代码，成功利用此缝隙的攻击者能够利用Druid权限在指标系统上执行代码。

  

0x02 措置建议

目前该缝隙已被建复，建议升级至Druid 0.20.1。

下载链接：

http://druid.apache.org/downloads.html

 

 

0x03 参考链接

http://mail-archives.apache.org/mod_mbox/www-announce/202101.mbox/%3CCACZfFK7WRWOfZ_3cZxXVE2nnGj73bBMBhND5gF=LzBeyfGxvpA@mail.gmail.com%3E

https://lists.apache.org/thread.html/rfda8a3aa6ac06a80c5cbfdeae0fc85f88a5984e32ea05e6dda46f866%40%3Cdev.druid.apache.org%3E

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-25646

 

0x04 功夫线

2021-01-30  Apache颁布安全布告

2021-02-01  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png