PT-2021-17176 · Apache+1 · Apache Druid+1

Fantasyc4T From

+1

·

Publicado

2021-03-30

·

Atualizado

2024-10-01

·

CVE-2021-26919

CVSS v3.1

8.8

Alta

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
**Nome do software vulnerável e versões afetadas:
Versões do Apache Druid anteriores à 0.20.2
Descrição:
A vulnerabilidade permite que um invasor execute código arbitrário a partir de um servidor MySQL malicioso dentro dos processos do servidor Druid, devido a certas propriedades do driver JDBC do MySQL. Essa funcionalidade destina-se a usuários confiáveis para configurar consultas ou enviar tarefas de ingestão usando JDBC para ler dados de outros sistemas de banco de dados.
Recomendações:
Para versões anteriores à 0.20.2, atualize para o Apache Druid 0.20.2 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso às propriedades do driver JDBC do MySQL para minimizar o risco de exploração.

Correção

Exposure of Resource to Wrong Sphere

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2021-26919
GHSA-JJ4F-P7VV-J4V9

Produtos afetados

Apache Druid
Mysql Server