近日，Apache Druid 任意文件读取漏洞细节及 EXP 在互联网公开，攻击者可通过将文件 URL 传递给 HTTP InputSource 来绕过应用程序级别的限制。由于 Apache Druid 默认情况下是缺乏授权认证，攻击者可构造恶意请求，在未授权情况下利用该漏洞读取系统任意文件，最终导致服务器敏感信息泄露。

Apache Druid 是一个实时分析型数据库，旨在对大型数据集进行快速的查询分析。Druid 最常被当做数据库来用以支持实时摄取、高性能查询和高稳定运行的应用场景，也通常被用来助力分析型应用的图形化界面，或者当做需要快速聚合的高并发后端 API，Druid 最适合应用于面向事件类型的数据。

在 Apache Druid 系统中，InputSource 用于从某个数据源读取数据。由于没有对用户可控的 HTTP InputSource 做限制，Apache Druid 允许经过身份验证的用户以 Druid 服务器进程的权限从指定数据源读取数据，包括本地文件系统。攻击者可通过将文件 URL 传递给 HTTP InputSource 来绕过应用程序级别的限制。由于 Apache Druid 默认情况下缺乏授权认证，攻击者可构造恶意请求，在未授权情况下利用该漏洞读取任意文件，最终导致服务器敏感信息泄露。

安装 Apache Druid 的用户可根据受影响版本下载官方最新版本安装，安装前建议做好系统备份。

相关官方最新版本下载地址如下：

在对安装受影响 Apache Druid 版本的用户未能进行完全修复情况下，互联网已经公开了多个检测工具。

• https://github.com/dorkerdevil/CVE-2021-36749/blob/main/CVE-2021-36749.py

• https://github.com/BrucessKING/CVE-2021-36749/blob/main/CVE-2021-36749.py