一、基本情况
1月30日,Apache发布了Apache Druid远程代码执行漏洞的风险通告,该漏洞CVE编号:CVE-2021-25646。经过身份验证的远程攻击者通过发送恶意请求,在目标服务器执行任意代码,从而控制服务器。建议受影响用户将Druid升级至0.20.1及以上版本,做好资产自查以及预防工作,以免遭受黑客攻击。
二、漏洞等级
高危
三、漏洞描述
Apache Druid是一款使用Java语言编写的、支持实时多维OLAP分析的分布式数据处理系统。
该漏洞是由于Apache Druid 0.20.0及之前版本在默认情况下缺乏授权认证,攻击者通过发送恶意请求,在目标服务器执行任意代码,从而控制服务器。
四、影响范围
Apache Druid <= 0.20.0
五、安全建议
目前官方已发布新版本修复该漏洞,建议受影响用户及时更新至最新版本。
下载地址:http://druid.apache.org/downloads.html
六、参考链接
- https://lists.apache.org/thread.html/r20e0c3b10ae2c05a3aad40f1476713c45bdefc32c920b9986b941d8f@%3Cannounce.apache.org%3E
-
https://github.com/apache/druid/releases/tag/druid-0.20.1
支持单位:
深信服科技股份有限公司
杭州安恒信息技术股份有限公司
声明:本文来自网络安全威胁和漏洞信息共享平台,版权归作者所有。文章内容仅代表作者独立观点,不代表士冗科技立场,转载目的在于传递更多信息。如有侵权,请联系 service@expshell.com。