There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - In the Druid ingestion system, the InputSource is used for reading data from a certain data source.
    However, the HTTP InputSource allows authenticated users to read data from other sources than intended,
    such as the local file system, with the privileges of the Druid server process. This is not an elevation
    of privilege when users access Druid directly, since Druid also provides the Local InputSource, which
    allows the same level of access. But it is problematic when users interact with Druid indirectly through
    an application that allows users to specify the HTTP InputSource, but not the Local InputSource. In this
    case, users could bypass the application-level restriction by passing a file URL to the HTTP InputSource.
    This issue was previously mentioned as being fixed in 0.21.0 as per CVE-2021-26920 but was not fixed in
    0.21.0 or 0.21.1. (CVE-2021-36749)

在 Druid 擷取系統中，InputSource 用於從特定資料來源讀取資料。不過，HTTP InputSource 允許經驗證的使用者以 Druid 伺服器處理程序的權限，從預期來源以外的其他來源讀取資料，例如本機檔案系統。當使用者直接存取 Druid 時，不會引起權限提升，因為 Druid 也提供 Local InputSource，其允許相同層級的存取權。但是當使用者透過允許使用者指定 HTTP InputSource (而非 Local InputSource) 的應用程式與 Druid 間接互動時，就會出現問題。在此情況下，使用者可傳送檔案 URL 至 HTTP InputSource，藉此繞過應用程式層級的限制。此問題先前已在 0.21.0 中依照 CVE-2021-26920 修正，但尚未在 0.21.0 或 0.21.1 中修正。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 Druid 摄取系统中，InputSource 用于从特定数据源读取数据。但是，HTTP InputSource 允许经过身份验证的用户以 Druid 服务器进程的权限，从预期之外的其他来源（例如本地文件系统）读取数据。当用户直接访问 Druid 时，这不会带来权限提升，因为 Druid 还会提供允许相同访问权限级别的 Local InputSource。但当用户通过允许用户指定 HTTP InputSource（而不是 Local InputSource）的应用程序间接与 Druid 交互时，就会出现问题。在这种情况下，用户可以通过将文件 URL 传递到 HTTP InputSource，来绕过应用程序级别的限制。这个问题之前提到过，已按照 CVE-2021-26920 在 0.21.0 中修复，但未在 0.21.0 或 0.21.1 中修复。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Druid 取り込みシステムでは、InputSource が特定のデータソースからデータを読み取るために使用されます。ただし、HTTP InputSource を使用すると、認証されたユーザーが Druid サーバープロセスの権限で、ローカルファイルシステムなどの意図されていないソースからデータを読み取る可能性があります。これは、ユーザーが Druid に直接アクセスする場合の権限の昇格ではありません。Druid は、同じレベルのアクセスを許可する Local InputSource も提供するためです。しかし、ユーザーが HTTP InputSource を指定できるものの Local InputSource を指定できないアプリケーションを介して、ユーザーが間接的に Druid とやり取りする場合に問題が生じます。この場合、ファイルの URL を HTTP InputSource に渡すことで、ユーザーがアプリケーションレベルの制限をバイパスする可能性があります。この問題は以前、CVE-2021-26920 により 0.21.0 で修正されたものとして言及されましたが、 0.21.0 または 0.21.1 では修正されていません。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

In the Druid ingestion system, the InputSource is used for reading data from a certain data source. However, the HTTP InputSource allows authenticated users to read data from other sources than intended, such as the local file system, with the privileges of the Druid server process. This is not an elevation of privilege when users access Druid directly, since Druid also provides the Local InputSource, which allows the same level of access. But it is problematic when users interact with Druid indirectly through an application that allows users to specify the HTTP InputSource, but not the Local InputSource. In this case, users could bypass the application-level restriction by passing a file URL to the HTTP InputSource. This issue was previously mentioned as being fixed in 0.21.0 as per CVE-2021-26920 but was not fixed in 0.21.0 or 0.21.1.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
413384	SCA: security update for org.apache.druid:druid-core (GHSA-9p5g-vg43-mj5r)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
413384	SCA: security update for org.apache.druid:druid-core (GHSA-9p5g-vg43-mj5r)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
181679	Apache Druid < 0.22.0 錯誤授權	Nessus	Misc.	2023/9/20	2023/9/21	medium
181679	Apache Druid < 0.22.0 错误授权	Nessus	Misc.	2023/9/20	2023/9/21	medium
181679	Apache Druid < 0.22.0 の不適切な認証	Nessus	Misc.	2023/9/20	2023/9/21	medium
181679	Apache Druid < 0.22.0 Incorrect Authorization	Nessus	Misc.	2023/9/20	2023/9/21	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium