在 Druid 擷取系統中，InputSource 用於從特定資料來源讀取資料。不過，HTTP InputSource 允許經驗證的使用者以 Druid 伺服器處理程序的權限，從預期來源以外的其他來源讀取資料，例如本機檔案系統。當使用者直接存取 Druid 時，不會引起權限提升，因為 Druid 也提供 Local InputSource，其允許相同層級的存取權。但是當使用者透過允許使用者指定 HTTP InputSource (而非 Local InputSource) 的應用程式與 Druid 間接互動時，就會出現問題。在此情況下，使用者可傳送檔案 URL 至 HTTP InputSource，藉此繞過應用程式層級的限制。此問題先前已在 0.21.0 中依照 CVE-2021-26920 修正，但尚未在 0.21.0 或 0.21.1 中修正。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Apache Druid < 0.22.0 錯誤授權

medium Nessus Plugin ID 181679

版本 1.0