CVE-2025-59390
Apache Druid: Kerberos認証が明示的に設定されていない場合、暗号学的に安全でないシークレットを選択します。
- 公開済み
- 2025/11/26
- 更新済み
- 2025/12/11
- CNA の割り当て
- apache
- 観察された証拠
- 2026/08/11
プライマリ CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H低 · 今後 30 日間
- パーセンタイル
- 48.2%
- モデルの日付
- 2026/10/17
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
Apache DruidのKerberos認証子は、`druid.auth.authenticator.kerberos.cookieSignatureSecret` 設定が明示的に設定されていない場合、脆弱なフォールバックシークレットを使用します。この場合、シークレットは暗号学的に安全な乱数生成器ではない `ThreadLocalRandom` を使用して生成されます。これにより、攻撃者が認証Cookieの署名に使用されるシークレットを予測またはブルートフォース攻撃できる可能性があり、トークンの偽造や認証バイパスにつながる可能性があります。さらに、各プロセスが独自のフォールバックシークレットを生成するため、ノード間でシークレットが不一致になります。これにより、分散環境やマルチブローカー環境で認証障害が発生し、実質的にクラスタが誤って設定されることになります。ユーザーは、強力な `druid.auth.authenticator.kerberos.cookieSignatureSecret` を設定することを推奨されます。この問題はApache Druidのバージョン34.0.0までに影響します。ユーザーは、Kerberos認証子を使用する際に `druid.auth.authenticator.kerberos.cookieSignatureSecret` の設定を必須とする修正を含むバージョン35.0.0にアップグレードすることを推奨されます。シークレットが設定されていない場合、サービスは起動に失敗します。
ソース
CVE-2025-59390 と ThreadLocalRandom Inverse
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。