Apache Druid 任意文件读取(CVE-2021-36749)

在 Druid 摄取系统中，InputSource 用于从某个数据源读取数据。HTTP InputSource 允许经过身份验证的用户以 Druid服务器进程的权限从其他来源读取数据。当用户通过允许用户指定 HTTP InputSource 而不是 Local InputSource 的应用程序间接与Druid 交互时，用户可以通过将文件 URL 传递给 HTTP InputSource 来绕过应用程序级别的限制，从而造成任意文件读取。