CVE-2021-36749

حول -

في نظام إدخال البيانات Druid، يُستخدم InputSource لقراءة البيانات من مصدر بيانات معين. ومع ذلك، يسمح HTTP InputSource للمستخدمين المصادق عليهم بقراءة البيانات من مصادر أخرى غير المقصودة، مثل نظام الملفات المحلي، بصلاحيات عملية خادم Druid. لا يُعد هذا تصعيدًا للصلاحيات عندما يصل المستخدمون إلى Druid مباشرة، لأن Druid يوفر أيضًا Local InputSource، الذي يسمح بنفس المستوى من الوصول. لكنه يمثل مشكلة عندما يتفاعل المستخدمون مع Druid بشكل غير مباشر عبر تطبيق يسمح للمستخدمين بتحديد HTTP InputSource، ولكن ليس Local InputSource. في هذه الحالة، يمكن للمستخدمين تجاوز القيود على مستوى التطبيق عن طريق تمرير عنوان URL لملف إلى HTTP InputSource. سبق أن ذُكر أن هذه المشكلة تم إصلاحها في الإصدار 0.21.0 وفقًا لـ CVE-2021-26920، لكنها لم تُصلح في 0.21.0 أو 0.21.1.

execute - CVE-2021-36749.py http://ip:port