CVE-2024-45537 in Druid
Résumé
par VulDB • 06/06/2026
Apache Druid permet aux utilisateurs disposant de certaines autorisations de lire des données provenant d'autres systèmes de bases de données via JDBC. Cette fonctionnalité permet aux utilisateurs de confiance de configurer des recherches (lookups) dans Druid ou d'exécuter des tâches d'ingestion. Druid permet également aux administrateurs de configurer une liste de propriétés autorisées que les utilisateurs peuvent fournir pour leurs connexions JDBC. Par défaut, cette liste restreint les utilisateurs aux seules propriétés liées au TLS. Cependant, lors de la configuration d'une connexion JDBC MySQL, les utilisateurs peuvent utiliser une chaîne de connexion JDBC particulièrement conçue à cet effet (crafted) pour fournir des propriétés qui ne figurent pas sur cette liste autorisée.
Les utilisateurs sans l'autorisation de configurer des connexions JDBC ne sont pas en mesure d'exploiter cette vulnérabilité. La CVE-2021-26919 décrit une vulnérabilité similaire qui a été partiellement corrigée dans Apache Druid 0.20.2.
Ce problème est résolu dans la version Apache Druid 30.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.