讓 Apache Druid 0.17.0 中啟用 LDAP 驗證時，具有一組有效 LDAP 認證的 Druid API 呼叫者可繞過 credentialsValidator.userSearch 篩選障礙，該障礙可決定是否允許有效的 LDAP 使用者向 Druid 進行驗證。如果設定了角色型授權檢查，呼叫者仍然會受到這些檢查的限制。Druid API 的呼叫者也可以擷取存在於 LDAP 伺服器的使用者的任何 LDAP 屬性值，只要該資訊對 Druid 伺服器可見。此資訊洩漏不要求呼叫者本身是有效的 LDAP 使用者。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Apache Druid < 0.17.1 LDAP 插入

medium Nessus Plugin ID 181681

版本 1.0