长按二维码关注
腾讯安全威胁情报中心
腾讯安全攻防团队A&D Team
腾讯安全 企业安全运营团队
腾讯安全注意到Apache Druid任意文件读取漏洞（CVE-2021-36749）细节及POC（概念验证代码）已在互联网公开。攻击者可构造恶意请求，在未授权情况下利用该漏洞读取任意文件，最终导致服务器敏感信息泄露。腾讯安全专家建议受影响的用户将Apache Druid升级到最新版本。
1
漏洞详情
Apache Druid存在任意文件读取漏洞，攻击者可通过将文件URL传递给HTTP InputSource来绕过应用程序级别的限制。由于Apache Druid默认情况下缺乏授权认证，攻击者可构造恶意请求，在未授权情况下利用该漏洞读取任意文件，最终导致服务器敏感信息泄露。
该漏洞首次披露为2021年9月24日，初始评估为低风险，因漏洞详情披露，风险升级。
2
漏洞编号
CVE-2021-36749
3
漏洞等级
中危
漏洞状态：
漏洞细节 |
漏洞PoC |
漏洞EXP |
在野利用 |
已公开 |
已公开 |
未知 |
未知 |
4
受影响的版本
Apache Druid <= 0.21.1
5
漏洞修复建议
腾讯安全专家建议受影响的用户尽快升级至安全版本（Apache Druid 0.22.0）：
下载链接：
https://druid.apache.org/downloads.html
6
腾讯安全解决方案
腾讯T-Sec漏洞扫描服务已支持检测企业资产是否存在Apache Druid任意文件读取漏洞（CVE-2021-36749）；
腾讯T-Sec高级威胁检测系统（御界NDR）规则库日期2021-11-23之后的版本，已支持检测利用Apache Druid任意文件读取漏洞（CVE-2021-36749）的攻击；
腾讯T-Sec Web应用防火墙（WAF）已支持检测防御利用Apache Druid任意文件读取漏洞（CVE-2021-36749）的攻击。
参考链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42321
关于腾讯安全威胁情报中心
腾讯安全威胁情报中心是一个涵盖全球多维数据的情报分析、威胁预警分析平台。依托顶尖安全专家团队支撑，帮助安全分析人员、安全运维人员快速、准确地对可疑威胁事件进行预警、处置和溯源分析。
长按识别二维码获取第一手威胁情报
