CVE-2021-36749

Versões do Druid anteriores à 0.21.0

O problema diz respeito ao sistema de ingestão do Druid, especificamente ao HTTP InputSource, que permite que usuários autenticados leiam dados de fontes não pretendidas, como o sistema de arquivos local, com os privilégios do processo do servidor Druid. Isso é problemático quando os usuários interagem com o Druid indiretamente por meio de um aplicativo que restringe o acesso a determinadas fontes de entrada. Os usuários poderiam contornar as restrições no nível do aplicativo passando uma URL de arquivo para o HTTP InputSource.

Para versões anteriores à 0.21.0, como solução temporária, considere restringir o acesso ao HTTP InputSource para minimizar o risco de exploração. Evite usar o HTTP InputSource em aplicativos que não pretendem permitir acesso ao sistema de arquivos local. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.