CVE-2025-59390-

El POC adjunto le permitirá descifrar la firma Kerberos en Apache Druid y también cualquier número entero generado por ThreadLocalRandom

Advisory - El autenticador Kerberos de Apache Druid utiliza un secreto de respaldo débil cuando la configuración druid.auth.authenticator.kerberos.cookieSignatureSecret no se establece explícitamente. En este caso, el secreto se genera mediante ThreadLocalRandom, que no es un generador de números aleatorios criptográficamente seguro. Esto puede permitir a un atacante predecir o forzar por fuerza bruta el secreto utilizado para firmar las cookies de autenticación, lo que podría habilitar la falsificación de tokens o la omisión de la autenticación. Además, cada proceso genera su propio secreto de respaldo, lo que da como resultado secretos inconsistentes entre nodos. Esto provoca fallos de autenticación en implementaciones distribuidas o con múltiples brokers, lo que efectivamente conduce a clústeres mal configurados. Se recomienda a los usuarios configurar un druid.auth.authenticator.kerberos.cookieSignatureSecret fuerte. Este problema afecta a Apache Druid: hasta 34.0.0. Se recomienda a los usuarios actualizar a la versión 35.0.0, que corrige el problema al hacer obligatorio establecer druid.auth.authenticator.kerberos.cookieSignatureSecret cuando se utiliza el autenticador Kerberos. Los servicios no podrán iniciarse si no se establece el secreto.