Druid 任意文件读取（CVE-2021-36749） - 码农知识堂 - 文章详情页

Druid 任意文件读取（CVE-2021-36749）
Druid 任意文件读取（CVE-2021-36749）

漏洞描述

由于用户指定 HTTP InputSource 没有做出限制，可以通过将文件 URL 传递给 HTTP InputSource 来绕过应用程序级别的限制。攻击者可利用该漏洞在未授权情况下，构造恶意请求执行文件读取，最终造成服务器敏感性信息泄露。

影响范围

Apache Druid <= 0.21.1

复现环境

VULFOCUS

复现过程

点击 Load data

选择 https，点击 Connext data

使用 file 协议读取文件信息
```
file:///tmp/
1
```
相关阅读:
硫化锌量子点/ZnS QDs 巯基SH/氨基/NH2/羧基COOH修饰硫化锌量子点/ZnS QDs
数学建模：智能优化算法及其python实现
 洗地机哪款最好用？口碑最好的家用洗地机推荐
 这些大佬告诉你，在先进计算与AI领域该往哪个方向冲！
批量制作公司出入证
 市场调研的步骤与技巧：助你了解市场需求
 Logstash对接 SNMP v2和 v3
剑指 Offer 38. 字符串的排列
 【JS面试题】面试官：“[1,2,3].map(parseInt)“ 输出结果是什么？答上来就算你通过面试
 嵌入式学习笔记（46） NandFlash的结构
原文地址：https://blog.csdn.net/weixin_51559599/article/details/134076994