出典: Security NEXT – https://www.security-next.com/180867
「Apache Druid」に認証回避の深刻な脆弱性 – アップデート実施を
「Apache Druid」に認証回避の深刻な脆弱性 – アップデート実施を
分散型分析データベース「Apache Druid」において、認証の回避が可能となる深刻な脆弱性が明らかとなった。
LDAP認証を利用する構成において認証をバイパスできる脆弱性「CVE-2026-23906」が明らかとなったもの。開発チームは、重要度を4段階中、上から2番目にあたる「重要（Important）」とレーティングしている。
脆弱性は拡張機能「druid-basic-security」に存在。同機能を有効化し、LDAPサーバが匿名バインドを許可している場合、既存ユーザー名と空のパスワードを指定することで認証を突破できるという。
認証情報を持たない第三者がクラスタへアクセスでき、データソースに保存されている情報へアクセスしたり、クエリの実行、データの操作のほか、管理インタフェースなどへのアクセスも可能となる。
米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を4段階中もっとも高い「クリティカル（Crit
