Vulnerabilidad en Apache Druid (CVE-2024-45537)

Apache Druid permite a los usuarios con ciertos permisos leer datos de otros sistemas de bases de datos mediante JDBC. Esta funcionalidad permite a los usuarios de confianza configurar búsquedas de Druid o ejecutar tareas de ingesta. Druid también permite a los administradores configurar una lista de propiedades permitidas que los usuarios pueden proporcionar para sus conexiones JDBC. De forma predeterminada, esta lista de propiedades permitidas restringe a los usuarios solo a las propiedades relacionadas con TLS. Sin embargo, al configurar una conexión JDBC de MySQL, los usuarios pueden usar una cadena de conexión JDBC especialmente manipulada para proporcionar propiedades que no están en esta lista de permitidos. Los usuarios sin permiso para configurar conexiones JDBC no pueden aprovechar esta vulnerabilidad. CVE-2021-26919 describe una vulnerabilidad similar que se solucionó parcialmente en Apache Druid 0.20.2. Este problema se solucionó en Apache Druid 30.0.1.