Apache Druid において JavaScript の注入により遠隔からの任意のコード実行が可能となる脆弱性（Scan Tech Report）

◆概要
　2021 年 1 月に、データ処理サーバソフトウェアである Apache Druid に、遠隔からの任意のコード実行が可能となる脆弱性が報告されています。攻撃者により脆弱性を悪用されてしまった場合は、意図しない動作を強制されてしまいます。ソフトウェアのアップデートにより対策してください。

◆分析者コメント
　ソフトウェア自体は Java で動作しているため、最終的に実行されるコードは Java のコートですが、脆弱性により注入されるコードは JavaScript です。1 つのリクエストにより、容易に遠隔コード実行が可能となる脆弱性であるため、早急にソフトウェアアップデートによる対策をしてください。また、ソフトウェアの性質上、インターネットでの公開が望ましくないと考えられるソフトウェアであるため、脆弱性の対策とともにネットワーク的なアクセス制御設定の見直しを推奨します。

◆深刻度(CVSS)
[CVSS v3.1]
8.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2021-25646&vector=AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST

◆影響を受けるソフトウェア
　バージョン 0.20.0 およびそれより前の Apache Druid が当該脆弱性の影響を受けると報告されています。OS ベンダによるパッケージを利用している場合は脆弱性の影響を受けるバージョン番号に差異があるため、各 OS ベンダが公開している脆弱性情報を確認してください。

◆解説
　データ処理サーバソフトウェアである Apache Druid に、遠隔からのコード実行が可能となる JavaScript インジェクションの脆弱性が報告されています。