Apache Druid JDBC反序列化代码执行漏洞

CVE编号

CVE-2021-26919

利用情况

暂无

补丁情况

N/A

披露时间

2021-03-30

漏洞描述

Apache Druid是用JAVA编写的面向列的开源分布式数据存储。Apache Druid远程代码执行漏洞，攻击者可利用该漏洞执行任意代码。

解决建议

厂商已发布相关漏洞补丁链接，请关注厂商主页及时更新：https://druid.apache.org/http://mail-archives.apache.org/mod_mbox/www-announce/202103.mbox/%3CCACZfFK6Va-CqhfDUPqPvqBCw8JsJwQ1xRe8JxeQbX5cRyi7qJg@mail.gmail.com%3E

参考链接
https://lists.apache.org/thread.html/r443e2916c612fbd119839c0fc0729327d603191...
https://lists.apache.org/thread.html/r470f8c92eb5df45f41b3ae609b6315b6c5ff51b...
https://lists.apache.org/thread.html/r6bc68264170046448f823d12c17fd1fd875251d...
https://lists.apache.org/thread.html/r7a531ec123570cb7875ff991cf115f99e9ef99a...
https://lists.apache.org/thread.html/ra85fa7d31f9bec1148ffd2e4030934927caa8bf...
https://lists.apache.org/thread.html/rd87451fce34df54796e66321c40d743a68fb455...
https://lists.apache.org/thread.html/re0910cf4c784897774427fecd95912fb565a6bd...
https://lists.apache.org/thread.html/re4c5deb0aae4bace69844d15c9fd1699e907ebf...
https://lists.apache.org/thread.html/rf3ea2a4018e87e6c45d36cf8479af7727dcc276...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	apache	druid	*		Up to (excluding) 0.20.2

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 NVD-CWE-noinfo