Apache Druid遠程代碼執行漏洞（CVE-2021-26919）
發布時間 2021-03-300x00 漏洞概述
CVE ID | CVE-2021-26919 | 時 間 | 2021-03-30 |
類 型 | RCE | 等 級 | 中危 |
遠程利用 | 是 | 影響范圍 | Druid <= 0.20.1 |
PoC/EXP | 未公開 | 在野利用 |
0x01 漏洞詳情
Apache Druid是專為大數據集的快速切片分析（OLAP查詢）而設計的高性能分析數據庫。
2021年03月29日，Apache官方發布安全公告，公開了Apache Druid中的一個遠程代碼執行漏洞（CVE-2021-26919）。
Druid 使用JDBC從其它數據庫讀取數據，此功能是為了讓受信任的用戶通過適當的權限來設置查找或提交提取任務。由于Apache Druid 默認情況下缺乏授權認證，攻擊者可通過構造惡意請求執行任意代碼，從而控制服務器。
0x02 處置建議
目前官方已修復了此漏洞，建議及時升級到Druid 0.20.2。
下載鏈接：
https://github.com/apache/druid/releases/tag/druid-0.20.2
0x03 參考鏈接
http://mail-archives.apache.org/mod_mbox/www-announce/202103.mbox/%3CCACZfFK6Va-CqhfDUPqPvqBCw8JsJwQ1xRe8JxeQbX5cRyi7qJg@mail.gmail.com%3E
https://github.com/apache/druid/releases/tag/druid-0.20.2
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-26919
0x04 時間線
2021-03-29 Apache發布安全公告
2021-03-30 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號