Druid 任意文件读取 (CVE-2021-36749) 漏洞描述 由于用户指定 HTTP InputSource 没有做出限制,可以通过将文件 URL 传递给 HTTP InputSource 来绕过应用程序级别的限制。攻击者可利用该漏洞在未授权情况下,构造恶意请求执行文件读取,最终造成服务器敏感性信息泄露。 影响范围 Apache Druid <= 0.21.1 复现环境 VULFOCUS 复现过程 点击 Load data 选择 https,点击 Connext data 使用 file 协议读取文件信息 file:///tmp/