CVE-2024-45537 in Druid
Riassunto
di VulDB • 14/06/2026
Apache Druid consente agli utenti con determinati permessi di leggere dati da altri sistemi di database utilizzando JDBC. Questa funzionalità permette agli utenti fidati di configurare lookup su Druid o eseguire attività di ingestione dei dati. Druid consente inoltre agli amministratori di configurare un elenco di proprietà consentite che gli utenti possono fornire per le loro connessioni JDBC. Per impostazione predefinita, questo elenco di proprietà consentite limita gli utenti alle sole proprietà relative a TLS (Transport Layer Security). Tuttavia, durante la configurazione di una connessione JDBC MySQL, gli utenti possono utilizzare una stringa di connessione JDBC particolarmente elaborata per fornire proprietà che non sono presenti in questa lista bianca.
Gli utenti senza il permesso di configurare connessioni JDBC non sono in grado di sfruttare questa vulnerabilità. La CVE-2021-26919 descrive una vulnerabilità simile, parzialmente risolta in Apache Druid 0.20.2.
Questo problema è stato risolto in Apache Druid 30.0.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.