【漏洞通告】Apache Druid 远程代码执行漏洞(CVE-2021-26919)

深信服千里目安全实验室 · 公众号 · · 2021-03-30 18:09

正文

漏洞名称 : Apache Druid 远程代码执行漏洞(CVE-2021-26919)

组件名称 : Apache Druid

影响范围 : Apache Druid <0.20.2

漏洞类型 : 远程代码执行

利用条件 : 1、用户认证：不需要用户认证

2、触发方式：远程

造成后果 : 允许未经身份验证的攻击者执行任意代码。

漏洞分析

1 组件介绍

Apache Druid是一个分布式的、支持实时多维OLAP分析的数据处理系统。它既支持高速的数据实时摄入处理，也支持实时且灵活的多维数据分析查询。因此Apache Druid最常用的场景就是大数据背景下、灵活快速的多维OLAP分析。Apache Druid还支持根据时间戳对数据进行预聚合摄入和聚合分析，因此也有用户经常在有时序数据处理分析的场景中使用。

2 漏洞描述

2021年3月30日，深信服安全团队监测到一则组件存在 Apache Druid远程代码执行漏洞的信息，漏洞编号：CVE-2021-26919，漏洞威胁等级：高危。该漏洞是由于Apache Druid 默认情况下缺乏授权认证，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行远程代码执行攻击，最终获取服务器最高权限。

影响范围

Apache Druid是为大型数据集上的高性能片断分析（“OLAP”查询）设计的数据存储，Druid通常用作为GUI分析应用程序提供动力的数据存储，或者用作需要快速聚合的高并发API的后端。全球共计3万多台存活主机，中国地区受影响主机主要集中在北京、广东、上海等地区。

目前受影响的 Apache Druid 版本：

Apache Druid <0.20.2

解决方案

1 官方修复建议

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://github.com/apache/druid/releases/tag/druid-0.20.2

时间轴

请到「今天看啥」查看全文

推荐文章

数据派THU · 【ICLR2025】CUBEDIFF：将基于扩散的图像模型重新用于全景生成

昨天

数据派THU · 提升数据科学工作流效率的10个Jupyter Notebook高级特性

2 天前

高工智能汽车 · 连亏两年，经纬恒润“压力”不减

昨天

国家数据局 · 2024年“数据要素×”大赛优秀项目案例集——金融服务案例之五 | 数据+模型，构建科创金融征信新范式

18 小时前

大数据与机器学习文摘 · 突发！o3-mini 思维链公开，却被曝光全是「作假」，奥特曼现身解释网友炸锅

3 天前

创业邦 · 首发 | 为创业2次抛弃微软，10年机器学习经验，Atman上线3月碾压谷歌、百度翻译，他说要把全世界变成朋友圈

8 年前

36氪 · 确定了无线充电的新款iPhone ，到底怎么个“无线”法？

7 年前

汽车电商笔记 · 蔚来汽车未获生产资质是缺钱？李斌：先抢市场

7 年前

掌上太原 · 太原女子与“附近的人”约会，竟发生了这么可怕的事！

7 年前

中国好文章 · 毕福剑爆料被出卖原因，可惜很多人还在这样做！

7 年前