【已复现】Apache Druid 远程代码执行漏洞安全风险通告第二次更新

奇安信CERT

致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。

（注：奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节，订阅方式见文末。）

安全通告

Apache Druid是一个高性能的实时大数据分析引擎，支持快速数据摄取、实时查询和数据可视化。它主要用于OLAP（在线分析处理）场景，能处理PB级别的数据。Druid具有高度可扩展、低延迟和高吞吐量的特点，广泛应用于实时监控、事件驱动分析、用户行为分析、网络安全等领域。通过使用Druid，企业和开发者可以快速获得实时分析结果，提升决策效率。

近日，奇安信CERT监测到Apache Druid远程代码执行漏洞，在Apache Druid使用Apache Kafka加载数据的场景下，未经身份认证的远程攻击者可配置Kafka连接属性，从而利用CVE-2023-25194漏洞触发JNDI注入，最终执行任意代码。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

本次更新内容：

更新漏洞描述及危害描述；

更新产品解决方案；

更新漏洞复现截图。

漏洞名称	Apache Druid 远程代码执行漏洞
公开时间	2023-04-19	更新时间	2023-04-21
CVE编号	暂无	其他编号	QVD-2023-9629
威胁类型	代码执行	技术类型	引入不安全的第三方组件
厂商	Apache	产品	Druid
风险等级
奇安信CERT风险评级		风险等级
高危		蓝色（一般事件）
现时威胁状态
POC状态	EXP状态	在野利用状态	技术细节状态
未发现	未发现	未发现	未发现
漏洞描述	在Apache Druid使用Apache Kafka加载数据的场景下，未经身份认证的远程攻击者可配置Kafka连接属性，从而利用CVE-2023-25194漏洞触发JNDI注入，最终执行任意代码。
影响版本	0.19.0 <= Apache Druid <= 25.0.0
不受影响版本	Apache Druid >= 26.0.0（修复版本尚未正式发布）
其他受影响组件	其他使用Apache Kafka Connect的产品也可能受CVE-2023-25194漏洞影响。

奇安信CERT已成功复现该漏洞，截图如下：

威胁评估

漏洞名称	Apache Druid 远程代码执行漏洞
CVE编号	暂无	其他编号		QVD-2023-9629
CVSS 3.1评级	高危	CVSS 3.1分数		9.4
CVSS向量	访问途径（AV）		攻击复杂度（AC）
	网络		低
	用户认证（Au）		用户交互（UI）
	无		不需要
	影响范围（S）		机密性影响（C）
	不改变		高
	完整性影响（I）		可用性影响（A）
	低		高
危害描述	未经身份认证的远程攻击者可配置Kafka连接属性，从而利用CVE-2023-25194漏洞触发JNDI注入，最终执行任意代码。

处置建议

一、安全更新

目前Apache Druid官方已临时修复了此漏洞，但尚未正式发布新版本，用户可下载源码编译使用。

用户可持续关注Apache Druid官方新版本发布，并及时更新。

参考：https://github.com/apache/druid/tree/26.0.0

二、缓解措施

1、为Apache Druid 开启认证配置。

详情请见：https://druid.apache.org/docs/latest/development/extensions-core/druid-basic-security.html

2、在业务允许的情况下将Apache Druid移至内网。

产品解决方案

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对Apache Druid远程代码执行漏洞(QVD-2023-9629)的防护。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：7738，建议用户尽快升级检测规则库至2304211900以上。

参考资料

[1]https://github.com/apache/druid/tree/26.0.0

[2]https://kafka.apache.org/cve-list

[3]https://mp.weixin.qq.com/s/SfqAOoQEXPlAge4ufCRlsg

时间线

2023年4月21日，奇安信 CERT发布安全风险通告；

2023年4月22日，奇安信 CERT发布安全风险通告第二次更新。

点击阅读原文

原文始发于微信公众号（奇安信 CERT）：【已复现】Apache Druid 远程代码执行漏洞安全风险通告第二次更新