CVE-2024-45537 in Druid
요약
\~에 의해 VulDB • 2026. 05. 27.
Apache Druid은 특정 권한을 가진 사용자가 JDBC를 사용하여 다른 데이터베이스 시스템에서 데이터를 읽을 수 있도록 합니다. 이 기능은 신뢰할 수 있는 사용자가 Druid 조회를 설정하거나 데이터 수집 작업을 실행할 수 있게 합니다. Druid는 또한 관리자가 사용자가 JDBC 연결에 제공할 수 있는 허용된 속성 목록을 구성할 수 있도록 합니다. 기본적으로 이 허용된 속성 목록은 사용자를 TLS 관련 속성에만 제한합니다. 그러나 MySQL JDBC 연결을 구성할 때, 사용자는 이 허용 목록에 없는 속성을 제공하기 위해 특별히 조작된 JDBC 연결 문자열을 사용할 수 있습니다.
JDBC 연결을 구성할 권한이 없는 사용자는 이 취약점을 악용할 수 없습니다. CVE-2021-26919는 Apache Druid 0.20.2에서 부분적으로 해결된 유사한 취약점을 설명합니다.
이 문제는 Apache Druid 30.0.1에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.