Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Apache Druid (CVE-2024-45384)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
17/09/2024
Última modificación:
14/03/2025

Descripción

Vulnerabilidad de relleno de Oracle en la extensión de Apache Druid, druid-pac4j. Esto podría permitir que un atacante manipule una cookie de sesión de pac4j. Este problema afecta a las versiones de Apache Druid 0.18.0 a 30.0.0. Dado que la extensión druid-pac4j es opcional y está deshabilitada de forma predeterminada, las instalaciones de Druid que no utilicen la extensión druid-pac4j no se ven afectadas por esta vulnerabilidad. Si bien no conocemos una forma de explotar significativamente esta falla, recomendamos actualizar a la versión 30.0.1 o superior que soluciona el problema y asegurarse de tener una contraseña de cookie druid.auth.pac4j. segura como medida de precaución.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apache:druid:*:*:*:*:*:*:*:* 0.18.0 (incluyendo) 30.0.1 (excluyendo)