There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - In the Druid ingestion system, the InputSource is used for reading data from a certain data source.
    However, the HTTP InputSource allows authenticated users to read data from other sources than intended,
    such as the local file system, with the privileges of the Druid server process. This is not an elevation
    of privilege when users access Druid directly, since Druid also provides the Local InputSource, which
    allows the same level of access. But it is problematic when users interact with Druid indirectly through
    an application that allows users to specify the HTTP InputSource, but not the Local InputSource. In this
    case, users could bypass the application-level restriction by passing a file URL to the HTTP InputSource.
    (CVE-2021-26920)

在 Druid 擷取系統中，InputSource 用於從特定資料來源讀取資料。不過，HTTP InputSource 允許經驗證的使用者以 Druid 伺服器處理程序的權限，從預期來源以外的其他來源讀取資料，例如本機檔案系統。當使用者直接存取 Druid 時，不會引起權限提升，因為 Druid 也提供 Local InputSource，其允許相同層級的存取權。但是當使用者透過允許使用者指定 HTTP InputSource (而非 Local InputSource) 的應用程式與 Druid 間接互動時，就會出現問題。在此情況下，使用者可傳送檔案 URL 至 HTTP InputSource，藉此繞過應用程式層級的限制。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 Druid 摄取系统中，InputSource 用于从特定数据源读取数据。但是，HTTP InputSource 允许经过身份验证的用户以 Druid 服务器进程的权限，从预期之外的其他来源（例如本地文件系统）读取数据。当用户直接访问 Druid 时，这不会带来权限提升，因为 Druid 还会提供允许相同访问权限级别的 Local InputSource。但当用户通过允许用户指定 HTTP InputSource（而不是 Local InputSource）的应用程序间接与 Druid 交互时，就会出现问题。在这种情况下，用户可以通过将文件 URL 传递到 HTTP InputSource，来绕过应用程序级别的限制。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Druid 取り込みシステムでは、InputSource が特定のデータソースからデータを読み取るために使用されます。ただし、HTTP InputSource を使用すると、認証されたユーザーが Druid サーバープロセスの権限で、ローカルファイルシステムなどの意図されていないソースからデータを読み取る可能性があります。これは、ユーザーが Druid に直接アクセスする場合の権限の昇格ではありません。Druid は、同じレベルのアクセスを許可する Local InputSource も提供するためです。しかし、ユーザーが HTTP InputSource を指定できるものの Local InputSource を指定できないアプリケーションを介して、ユーザーが間接的に Druid とやり取りする場合に問題が生じます。この場合、ファイルの URL を HTTP InputSource に渡すことで、ユーザーがアプリケーションレベルの制限をバイパスする可能性があります。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

In the Druid ingestion system, the InputSource is used for reading data from a certain data source. However, the HTTP InputSource allows authenticated users to read data from other sources than intended, such as the local file system, with the privileges of the Druid server process. This is not an elevation of privilege when users access Druid directly, since Druid also provides the Local InputSource, which allows the same level of access. But it is problematic when users interact with Druid indirectly through an application that allows users to specify the HTTP InputSource, but not the Local InputSource. In this case, users could bypass the application-level restriction by passing a file URL to the HTTP InputSource.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
411952	SCA: security update for org.apache.druid:druid-core (GHSA-793h-6f7r-6qvm)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
411952	SCA: security update for org.apache.druid:druid-core (GHSA-793h-6f7r-6qvm)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
181677	Apache Druid < 0.21.0 權限提升	Nessus	Misc.	2023/9/20	2023/9/21	medium
181677	Apache Druid < 0.21.0 权限提升	Nessus	Misc.	2023/9/20	2023/9/21	medium
181677	Apache Druid < 0.21.0 の権限昇格	Nessus	Misc.	2023/9/20	2023/9/21	medium
181677	Apache Druid < 0.21.0 Privilege Escalation	Nessus	Misc.	2023/9/20	2023/9/21	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium