Apache Druid远程代码执行漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

近日，奇安信CERT监测到Apache Druid官方发布安全更新，修复了 CVE-2021-26919 Apache Druid 远程代码执行漏洞。攻击者可通过构造恶意请求利用此漏洞，从而在目标服务器上执行任意代码。在默认情况下，该漏洞不需要认证即可触发。鉴于此漏洞影响较大，建议客户尽快自查修复。

近日，奇安信CERT监测到Apache Druid官方发布安全更新，修复了 CVE-2021-26919 Apache Druid 远程代码执行漏洞。攻击者可通过构造恶意请求利用此漏洞，从而在目标服务器上执行任意代码。在默认情况下，该漏洞不需要认证即可触发。以下为漏洞复现截图，鉴于此漏洞影响较大，建议用户尽快自查修复。

Apache Druid < 0.20.2

https://github.com/apache/druid/releases/tag/druid-0.20.2

2、缓解措施（添加授权认证）：

• 引入 druid-basic-security 扩展

• druid.extensions.loadList=["druid-basic-security"]

• 配置 Authenticator ， Escalator ， Authorizer

• druid.auth.authenticatorChain=["kerberos", "basic"]

• druid.escalator.type=basic

• druid.auth.authorizers=["basic"]

更多详情请参照：

https://druid.apache.org/docs/latest/development/extensions-core/druid-basic-security.html

奇安信 CERT发布安全风险通告

奇安信CERT长期招募安全研究员

↓ ↓ ↓ 向下滑动图片了解更多↓ ↓ ↓