There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - When LDAP authentication is enabled in Apache Druid 0.17.0, callers of Druid APIs with a valid set of LDAP
    credentials can bypass the credentialsValidator.userSearch filter barrier that determines if a valid LDAP
    user is allowed to authenticate with Druid. They are still subject to role-based authorization checks, if
    configured. Callers of Druid APIs can also retrieve any LDAP attribute values of users that exist on the
    LDAP server, so long as that information is visible to the Druid server. This information disclosure does
    not require the caller itself to be a valid LDAP user. (CVE-2020-1958)

在 Apache Druid 0.17.0 中启用 LDAP 身份验证时，包含一组有效 LDAP 凭证的 Druid API 的调用者可以绕过 credentialsValidator.userSearch 过滤器屏障，而该屏障能确定是否允许有效的 LDAP 用户通过 Druid 进行身份验证。如已配置，它们仍然受到基于角色的授权检查约束。Druid API 的调用者还可以检索 LDAP 服务器上存在的用户的任何 LDAP 属性值，但前提是这些信息对 Druid 服务器可见。这些信息披露不要求调用者本身是有效的 LDAP 用户。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

讓 Apache Druid 0.17.0 中啟用 LDAP 驗證時，具有一組有效 LDAP 認證的 Druid API 呼叫者可繞過 credentialsValidator.userSearch 篩選障礙，該障礙可決定是否允許有效的 LDAP 使用者向 Druid 進行驗證。如果設定了角色型授權檢查，呼叫者仍然會受到這些檢查的限制。Druid API 的呼叫者也可以擷取存在於 LDAP 伺服器的使用者的任何 LDAP 屬性值，只要該資訊對 Druid 伺服器可見。此資訊洩漏不要求呼叫者本身是有效的 LDAP 使用者。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Apache Druid 0.17.0 で LDAP 認証が有効になっている場合、有効な LDAP 認証情報のセットを持つ Druid API の呼び出し元は、有効な LDAP ユーザーが Druid での認証を許可されているかどうかを判断する credentialsValidator.userSearch フィルターバリアをバイパスする可能性があります。設定されている場合、これらは引き続きロールベースの承認チェックの対象となります。Druid API の呼び出し元は、Druid サーバーに表示される情報であれば、LDAP サーバーに存在するユーザーの LDAP 属性値を取得することもできます。この情報漏洩は、呼び出し側自体が有効な LDAP ユーザーである必要はありません。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

When LDAP authentication is enabled in Apache Druid 0.17.0, callers of Druid APIs with a valid set of LDAP credentials can bypass the credentialsValidator.userSearch filter barrier that determines if a valid LDAP user is allowed to authenticate with Druid. They are still subject to role-based authorization checks, if configured. Callers of Druid APIs can also retrieve any LDAP attribute values of users that exist on the LDAP server, so long as that information is visible to the Druid server. This information disclosure does not require the caller itself to be a valid LDAP user.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
418132	SCA: security update for org.apache.druid:druid (GHSA-qh2g-7h5p-mxf4)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
418132	SCA: security update for org.apache.druid:druid (GHSA-qh2g-7h5p-mxf4)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
181681	Apache Druid < 0.17.1 LDAP 注入	Nessus	Misc.	2023/9/20	2023/9/21	medium
181681	Apache Druid < 0.17.1 LDAP 插入	Nessus	Misc.	2023/9/20	2023/9/21	medium
181681	Apache Druid < 0.17.1 の LDAP インジェクション	Nessus	Misc.	2023/9/20	2023/9/21	medium
181681	Apache Druid < 0.17.1 LDAP Injection	Nessus	Misc.	2023/9/20	2023/9/21	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium