Apache · Druid · CVE-2020-13955
**Nome do software vulnerável e versões afetadas:
Versões do Apache Calcite anteriores à 1.26
Descrição:
O problema está relacionado ao método `HttpUtils#getURLConnection`, que desativa a verificação do nome do host para conexões HTTPS, tornando os clientes vulneráveis a ataques man-in-the-middle. Esse método é usado internamente pelo Apache Calcite para se conectar ao Druid e ao Splunk, podendo levar ao vazamento de informações ao usar os respectivos adaptadores do Calcite. A localização do método em uma classe de utilitários significa que ele pode ser usado para criar conexões HTTPS vulneráveis para outros aplicativos.
Recomendações:
Para versões do Apache Calcite anteriores à 1.26, atualize para a versão 1.26 ou posterior, na qual a verificação do nome do host será realizada usando o truststore padrão da JVM. Como solução alternativa temporária, considere desativar o uso do método `HttpUtils#getURLConnection` até que um patch esteja disponível. Restrinja o acesso aos adaptadores Calcite vulneráveis para o Druid e o Splunk a fim de minimizar o risco de exploração. Evite usar o método vulnerável para criar conexões HTTPS para outros aplicativos até que o problema seja resolvido.