Apache Druid：用户可以提供允许列表中未列出的 MySQL JDBC 属性（CVE-2024-45537）
CVE编号
CVE-2024-45537利用情况
暂无补丁情况
N/A披露时间
2024-09-18漏洞描述
Apache Druid允许具有某些权限的用户使用JDBC从其他数据库系统中读取数据。此功能允许受信任的用户设置Druid查找或运行摄取任务。Druid还允许管理员配置允许用户为其JDBC连接提供的属性列表。默认情况下，此允许属性列表仅限制用户使用与TLS相关的属性。但是，在配置MySQL JDBC连接时，用户可以使用特别设计的JDBC连接字符串来提供不在此允许列表中的属性。没有配置JDBC连接的权限的用户无法利用此漏洞。CVE-2021-26919描述了一个类似的漏洞，该漏洞在Apache Druid 0.20.2中得到了部分解决。此问题已在Apache Druid 30.0.1中得到修复。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://lists.apache.org/thread/2ovx1t77y6tlkhk5b42clp4vwo4c8cjv |
- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
| CWE-20 | 输入验证不恰当 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论