一、基本情况
1月30日，Apache发布了Apache Druid远程代码执行漏洞的风险通告，该漏洞CVE编号：CVE-2021-25646。经过身份验证的远程攻击者通过发送恶意请求，在目标服务器执行任意代码，从而控制服务器。建议受影响用户将Druid升级至0.20.1及以上版本，做好资产自查以及预防工作，以免遭受黑客攻击。
二、漏洞等级
高危
三、漏洞描述
Apache Druid是一款使用Java语言编写的、支持实时多维OLAP分析的分布式数据处理系统。
该漏洞是由于Apache Druid 0.20.0及之前版本在默认情况下缺乏授权认证，攻击者通过发送恶意请求，在目标服务器执行任意代码，从而控制服务器。
四、影响范围
Apache Druid <= 0.20.0
五、安全建议
目前官方已发布新版本修复该漏洞，建议受影响用户及时更新至最新版本。
下载地址：http://druid.apache.org/downloads.html
六、参考链接
- https://lists.apache.org/thread.html/r20e0c3b10ae2c05a3aad40f1476713c45bdefc32c920b9986b941d8f@%3Cannounce.apache.org%3E
https://github.com/apache/druid/releases/tag/druid-0.20.1
支持单位：
深信服科技股份有限公司
杭州安恒信息技术股份有限公司
声明：本文来自网络安全威胁和漏洞信息共享平台，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
