CVE-2024-45537 in Druid
Sumário
de VulDB • 20/05/2026
O Apache Druid permite que usuários com certas permissões leiam dados de outros sistemas de banco de dados usando JDBC. Essa funcionalidade permite que usuários confiáveis configurem consultas do Druid (lookups) ou executem tarefas de ingestão. O Druid também permite que administradores configurem uma lista de propriedades permitidas que os usuários podem fornecer para suas conexões JDBC. Por padrão, essa lista de propriedades permitidas restringe os usuários apenas a propriedades relacionadas ao TLS. No entanto, ao configurar uma conexão JDBC do MySQL, os usuários podem usar uma string de conexão JDBC especialmente elaborada para fornecer propriedades que não estão nessa lista de permissões.
Usuários sem a permissão para configurar conexões JDBC não conseguem explorar essa vulnerabilidade. A CVE-2021-26919 descreve uma vulnerabilidade semelhante que foi parcialmente corrigida no Apache Druid 0.20.2.
Este problema foi corrigido no Apache Druid 30.0.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.