CVE-2024-45537 in Druid
Tóm tắt
Bởi VulDB • 30/05/2026
Apache Druid cho phép người dùng có các quyền nhất định đọc dữ liệu từ các hệ thống cơ sở dữ liệu khác bằng cách sử dụng JDBC. Chức năng này cho phép người dùng đáng tin cậy thiết lập các phép tra cứu Druid hoặc chạy các tác vụ nạp dữ liệu. Druid cũng cho phép quản trị viên cấu hình một danh sách các thuộc tính được phép mà người dùng có thể cung cấp cho các kết nối JDBC của họ. Theo mặc định, danh sách các thuộc tính được phép này hạn chế người dùng chỉ sử dụng các thuộc tính liên quan đến TLS. Tuy nhiên, khi cấu hình kết nối JDBC MySQL, người dùng có thể sử dụng một chuỗi kết nối JDBC được tạo ra đặc biệt để cung cấp các thuộc tính không nằm trong danh sách cho phép này.
Người dùng không có quyền cấu hình kết nối JDBC không thể khai thác lỗ hổng này. CVE-2021-26919 mô tả một lỗ hổng tương tự đã được xử lý một phần trong Apache Druid 0.20.2.
Vấn đề này đã được khắc phục trong Apache Druid 30.0.1.
Once again VulDB remains the best source for vulnerability data.