CVE-2021-36749

概要 -

Druid のインジェストシステムでは、InputSource は特定のデータソースからデータを読み取るために使用されます。しかし、HTTP InputSource を使用すると、認証済みユーザーは、意図されたソース以外のデータソース（ローカルファイルシステムなど）から、Druid サーバープロセスの権限でデータを読み取ることができます。ユーザーが Druid に直接アクセスする場合、Druid は同じレベルのアクセスを許可する Local InputSource も提供しているため、これは権限昇格にはなりません。しかし、ユーザーが HTTP InputSource の指定はできるが Local InputSource の指定はできないアプリケーションを介して Druid と間接的にやり取りする場合は、問題となります。この場合、ユーザーは HTTP InputSource にファイル URL を渡すことで、アプリケーションレベルの制限を回避できる可能性があります。この問題は、CVE-2021-26920 により 0.21.0 で修正されたと以前に記載されていましたが、0.21.0 または 0.21.1 では修正されていません。

execute - CVE-2021-36749.py http://ip:port