在 Druid 摄取系统中，InputSource 用于从特定数据源读取数据。但是，HTTP InputSource 允许经过身份验证的用户以 Druid 服务器进程的权限，从预期之外的其他来源（例如本地文件系统）读取数据。当用户直接访问 Druid 时，这不会带来权限提升，因为 Druid 还会提供允许相同访问权限级别的 Local InputSource。但当用户通过允许用户指定 HTTP InputSource（而不是 Local InputSource）的应用程序间接与 Druid 交互时，就会出现问题。在这种情况下，用户可以通过将文件 URL 传递到 HTTP InputSource，来绕过应用程序级别的限制。这个问题之前提到过，已按照 CVE-2021-26920 在 0.21.0 中修复，但未在 0.21.0 或 0.21.1 中修复。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Apache Druid < 0.22.0 错误授权

medium Nessus 插件 ID 181679

版本 1.0