简介

参考链接：

• 官网：https://druid.apache.org/
• GitHub：https://github.com/apache/druid/
• 知乎：https://zhuanlan.zhihu.com/p/113159739
• https://zhuanlan.zhihu.com/p/82038648

Druid 是一个数据处理系统，本质是一个分布式时序数据库。

Druid 是一个分布式的、支持实时多维 OLAP 分析的数据处理系统。它既支持高速的数据实时摄入处理，也支持实时且灵活的多维数据分析查询。因此 Druid 最常用的场景就是大数据背景下、灵活快速的多维 OLAP 分析。 另外，Druid 还有一个关键的特点：它支持根据时间戳对数据进行预聚合摄入和聚合分析，因此也有用户经常在有时序数据处理分析的场景中用到它。

Druid 任意文件读取（CVE-2021-36749）

参考链接：

• https://github.com/BrucessKING/CVE-2021-36749
• https://www.huaweicloud.com/notice/2021/20211122173455993.html
• 漏洞环境：http://vulfocus.fofa.so/
• poc：https://github.com/BrucessKING/CVE-2021-36749

由于没有对用户可控的 HTTP InputSource 做限制，允许通过身份验证的用户从指定数据源读取数据。又因Apache Druid本身默认情况下就缺乏授权认证，故攻击者可以构造恶意请求，在未授权的情况下利用该漏洞读取系统任意文件，导致服务器敏感信息泄露。

漏洞影响版本：

• Apache Druid < 0.22.0

未影响版本：

• Apache Druid >= 0.22.0

漏洞复现

启动环境。

点击标题栏中的Load data->http(s)://->connect data。

在右侧URIs输入框中输入file:///etc/passd即可查看到该文件内容。

漏洞修复

目前，官方已发布新版本修复了该漏洞，请受影响的用户升级到安全版本：

• https://github.com/apache/druid/tags