PT-2025-12331 · Apache · Apache Druid
Xbow
·
Publicado
2025-03-19
·
Atualizado
2025-09-23
·
CVE-2025-27888
CVSS v2.0
7.5
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:P/A:N |
Apache Druid e Versões Afetadas
Versões do Apache Druid anteriores à 31.0.2 e anteriores à 32.0.1
Descrição
O Apache Druid é vulnerável a problemas de Falsificação de Solicitação do Lado do Servidor (SSRF), Scripting Entre Sites (XSS) e Redirecionamento Aberto. Quando o proxy de gerenciamento do Druid é utilizado, uma URL especialmente elaborada em uma solicitação pode redirecionar a solicitação para um servidor arbitrário, potencialmente levando a XSS ou Falsificação de Solicitação Entre Sites (XSRF). A exploração requer autenticação de usuário. O proxy de gerenciamento está habilitado por padrão nas configurações do Druid. O problema afeta todas as versões anteriores do Druid. A vulnerabilidade decorre da neutralização inadequada de entrada durante a geração de páginas web e de uma vulnerabilidade de redirecionamento aberto.
Recomendações
Atualize para a versão 31.0.2 ou 32.0.1 do Druid para resolver o problema.
Como mitigação, desabilite o proxy de gerenciamento do Druid. Observe que desabilitar o proxy de gerenciamento afetará algumas funcionalidades do console web, mas a funcionalidade principal permanecerá operacional.
Correção
Open Redirect
SSRF
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Druid