一、基本情况
1月30日，Apache发布了Apache Druid远程代码执行漏洞的风险通告，该漏洞CVE编号：CVE-2021-25646。经过身份验证的远程攻击者通过发送恶意请求，在目标服务器执行任意代码，从而控制服务器。建议受影响用户将Druid升级至0.20.1及以上版本，做好资产自查以及预防工作，以免遭受黑客攻击。
二、漏洞等级
高危
三、漏洞描述
Apache Druid是一款使用Java语言编写的、支持实时多维OLAP分析的分布式数据处理系统。
该漏洞是由于Apache Druid 0.20.0及之前版本在默认情况下缺乏授权认证，攻击者通过发送恶意请求，在目标服务器执行任意代码，从而控制服务器。
四、影响范围
Apache Druid <= 0.20.0
五、安全建议
目前官方已发布新版本修复该漏洞，建议受影响用户及时更新至最新版本。
下载地址：http://druid.apache.org/downloads.html
六、参考链接
-
https://lists.apache.org/thread.html/r20e0c3b10ae2c05a3aad40f1476713c45bdefc32c920b9986b941d8f@
-
https://github.com/apache/druid/releases/tag/druid-0.20.1
支持单位：
深信服科技股份有限公司
杭州安恒信息技术股份有限公司
声明：本文来自网络安全威胁和漏洞信息共享平台，版权归作者所有
版权归原作者所有，如若转载，请注明出处：https://www.ciocso.com/article/81.html
