CVE-2025-59390

सारांश

Apache Druid का Kerberos प्रमाणक (authenticator) एक कमज़ोर फ़ॉलबैक गुप्त कुंजी (weak fallback secret) का उपयोग करता है जब `druid.auth.authenticator.kerberos.cookieSignatureSecret` कॉन्फ़िगरेशन स्पष्ट रूप से सेट नहीं होता है। इस स्थिति में, गुप्त कुंजी `ThreadLocalRandom` का उपयोग करके उत्पन्न की जाती है, जो एक क्रिप्टोग्राफ़िक रूप से सुरक्षित रैंडम नंबर जनरेटर नहीं है। यह किसी हमलावर को प्रमाणीकरण कुकीज़ पर हस्ताक्षर करने के लिए उपयोग की जाने वाली गुप्त कुंजी का अनुमान लगाने या ब्रूट फोर्स करने की अनुमति दे सकता है, जिससे संभावित रूप से टोकन जालसाज़ी (token forgery) या प्रमाणीकरण बायपास हो सकता है। इसके अतिरिक्त, प्रत्येक प्रक्रिया अपनी स्वयं की फ़ॉलबैक गुप्त कुंजी उत्पन्न करती है, जिसके परिणामस्वरूप नोड्स के बीच असंगत गुप्त कुंजियाँ होती हैं। यह वितरित या मल्टी-ब्रोकर परिनियोजनों में प्रमाणीकरण विफलताओं का कारण बनता है, जो प्रभावी रूप से गलत तरीके से कॉन्फ़िगर किए गए क्लस्टर की स्थिति उत्पन्न करता है। उपयोगकर्ताओं को सलाह दी जाती है कि वे एक मजबूत `druid.auth.authenticator.kerberos.cookieSignatureSecret` कॉन्फ़िगर करें। यह समस्या Apache Druid के 34.0.0 तक के संस्करणों को प्रभावित करती है। उपयोगकर्ताओं को संस्करण 35.0.0 में अपग्रेड करने की अनुशंसा की जाती है, जो इस समस्या को ठीक करता है और Kerberos प्रमाणक का उपयोग करते समय `druid.auth.authenticator.kerberos.cookieSignatureSecret` सेट करना अनिवार्य बना देता है। यदि गुप्त कुंजी सेट नहीं है तो सेवाएँ प्रारंभ होने में विफल रहेंगी।

• CVE-2025-59390-PoC

  CVE-2025-59390 और ThreadLocalRandom Inverse