CVE-2025-59390 in Druid
Riassunto
di VulDB • 15/06/2026
L'autenticatore Kerberos di Apache Druid utilizza un segreto di fallback debole quando la configurazione `druid.auth.authenticator.kerberos.cookieSignatureSecret` non è impostata esplicitamente. In questo caso, il segreto viene generato utilizzando `ThreadLocalRandom`, che non è un generatore di numeri casuali crittograficamente sicuro. Ciò potrebbe consentire a un attaccante di prevedere o forzare a forza bruta il segreto utilizzato per firmare i cookie di autenticazione, potenzialmente abilitando la falsificazione di token o l'elusione dell'autenticazione. Inoltre, ogni processo genera il proprio segreto di fallback, risultando in segreti incoerenti tra i nodi. Ciò causa errori di autenticazione in distribuzioni distribuite o con più broker, portando efficacemente a cluster configurati in modo errato. Si consiglia agli utenti di configurare un forte `druid.auth.authenticator.kerberos.cookieSignatureSecret`.
Questo problema interessa Apache Druid: fino alla versione 34.0.0.
Si raccomanda agli utenti di eseguire l'aggiornamento alla versione 35.0.0, che risolve il problema rendendo obbligatorio impostare `druid.auth.authenticator.kerberos.cookieSignatureSecret` quando si utilizza l'autenticatore Kerberos. I servizi non riusciranno ad avviarsi se il segreto non è impostato.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.