CVE-2025-59390
KrytyczneStreszczenie
Apache Druid używa słabego, awaryjnego sekretu w mechanizmie uwierzytelniania Kerberos, gdy nie ustawiono konfiguracji `druid.auth.authenticator.kerberos.cookieSignatureSecret`. Sekret jest generowany za pomocą `ThreadLocalRandom`, który nie jest kryptograficznie bezpiecznym generatorem liczb losowych. Ponadto każdy proces generuje własny sekret, co powoduje niespójności w klastrze i błędy uwierzytelniania.
Ocena ryzyka
Atakujący może przewidzieć lub odgadnąć sekret używany do podpisywania ciasteczek uwierzytelniających, co może umożliwić fałszowanie tokenów lub obejście uwierzytelniania. Niespójne sekrety mogą również powodować problemy z dostępem w środowiskach rozproszonych.
Rekomendacja
Należy jawnie skonfigurować silny `druid.auth.authenticator.kerberos.cookieSignatureSecret` oraz zaktualizować Apache Druid do wersji 35.0.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Apache Druid’s Kerberos authenticator uses a weak fallback secret when the `druid.auth.authenticator.kerberos.cookieSignatureSecret` configuration is not explicitly set. In this case, the secret is generated using `ThreadLocalRandom`, which is not a crypto-graphically secure random number generator. This may allow an attacker to predict or brute force the secret used to sign authentication cookies, potentially enabling token forgery or authentication bypass. Additionally, each process generates its own fallback secret, resulting in inconsistent secrets across nodes. This causes authentication failures in distributed or multi-broker deployments, effectively leading to a incorrectly configured clusters. Users are advised to configure a strong `druid.auth.authenticator.kerberos.cookieSignatureSecret` This issue affects Apache Druid: through 34.0.0. Users are recommended to upgrade to version 35.0.0, which fixes the issue making it mandatory to set `druid.auth.authenticator.ker