CVE-2021-36749 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Apache Druid 的 HTTP InputSource 存在安全缺陷，允许经过身份验证的用户以服务器进程权限读取本地文件（如 /etc/passwd）。<br>💥 **后果**：导致**任意文件读取**，敏感数据泄露，服务器被进一步利用。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：Druid ingestion 系统中，HTTP InputSource 未正确限制数据源范围。<br>⚠️ **CWE**：数据中未提供具体 CWE ID，但属于**不安全的直接对象引用**或**路径遍历**类逻辑缺陷。
Q3影响谁？（版本/组件）
📦 **受影响版本**：Apache Druid **version <= 0.21.1**。<br>🏢 **厂商**：Apache Software Foundation。<br>🛠️ **组件**：Druid ingestion system (HTTP InputSource)。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：<br>1. 以 **Druid 服务器进程权限**读取任意文件。<br>2. 读取本地文件系统数据（如配置文件、密钥）。<br>3. 注意：这不是直接的权限提升（Privilege Escalation），因为 Local InputSource 本身也有此能力，但 HTTP 接口暴露了风险。
Q5利用门槛高吗？（认证/配置）
🔑 **利用门槛**：<br>✅ **需要认证**：用户必须是经过身份验证的 Druid 用户。<br>⚙️ **配置依赖**：如果应用允许用户指定 HTTP InputSource，则风险极高。<br>📉 **相对容易**：只需构造特定的 JSON Payload 即可触发。
Q6有现成Exp吗？（PoC/在野利用）
💻 **现成 Exp**：<br>✅ **有 PoC**：GitHub 上存在多个复现脚本（如 BrucessKING, Jun-5heng 等）。<br>📝 **方式**：可通过 curl 或 Python 脚本发送 POST 请求到 `/druid/indexer/v1/sampler?for=connect`。<br>🌍 **在野利用**：数据未明确提及，但 PoC 公开意味着利用门槛降低。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：<br>1. **版本检查**：确认 Druid 版本是否 <= 0.21.1。<br>2. **接口探测**：尝试访问 `/druid/indexer/v1/sampler`。<br>3. **扫描器**：使用支持 CVE-2021-36749 的漏洞扫描工具。<br>4. **日志监控**：监控异常的文件读取请求。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：<br>✅ **已发布**：Apache 于 2021-09-23/24 发布公告。<br>📌 **备注**：这是 CVE-2021-26920 的**不完整修复**（incomplete fix），建议升级至最新版本。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：<br>1. **升级版本**：升级到修复后的版本。<br>2. **访问控制**：限制 Druid 管理接口（如 8888 端口）的访问权限，仅允许可信 IP。<br>3. **最小权限**：确保 Druid 进程不以高权限运行（如 root）。<br>4. **禁用不必要功能**：如果不需要 HTTP InputSource，尽量禁用或限制其使用。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。<br>📢 **理由**：<br>1. 影响核心数据摄入功能。<br>2. 可导致敏感文件泄露。<br>3. 已有公开 PoC。<br>4. 属于已知漏洞的未完全修复版本，建议立即排查并升级。