Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

[bug](http) MetaInfoAction.getAllDatabases() leaks unfiltered db list, bypassing SHOW privilege

Đang mở Phù hợp với người mới
  • Có gì không ổn?
#66,024 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
76/100
Loại issue
Lỗi
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
java
Lĩnh vực
api, security

Hướng nghiên cứu

Bắt đầu trong fe/fe-core/src/main/java/org/apache/doris/httpv2/rest/MetaInfoAction.java tại getAllDatabases(), sau đó so sánh luồng lọc và phân trang trong fe/fe-core/src/main/java/org/apache/doris/httpv2/restv2/MetaInfoActionV2.java. Công việc được xem là hoàn tất khi endpoint v1 sắp xếp và chỉ trả về các tên cơ sở dữ liệu được SHOW cho phép, mà không sử dụng danh sách chưa lọc trong phản hồi.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Summary

MetaInfoAction.getAllDatabases() (the v1 HTTP metadata interface) returns the full list of database names regardless of the caller's SHOW privilege. The privilege-filtered result (dbNameSet) is computed but never used; the method sorts and returns the unfiltered dbNames.

This is distinct from PR #65126 — it is a pre-existing master bug, not introduced by that PR. The only change PR #65126 made to this method was the line:

- List<String> dbNames = catalog.getDbNames();
+ List<String> dbNames = new ArrayList<>(catalog.getDbNames());

which was needed to fix an UnsupportedOperationException after getDbNames() started returning an immutable list. It is unrelated to the privilege-filtering bug.

Affected code

fe/fe-core/src/main/java/org/apache/doris/httpv2/rest/MetaInfoAction.java

List<String> dbNames = new ArrayList<>(catalog.getDbNames());   // L108 all db names
List<String> dbNameSet = Lists.newArrayList();                  // L109
for (String db : dbNames) {
    if (!Env.getCurrentEnv().getAccessManager()
            .checkDbPriv(ConnectContext.get(), InternalCatalog.INTERNAL_CATALOG_NAME, db,
                    PrivPredicate.SHOW)) {
        continue;                                                // skip db without SHOW
    }
    dbNameSet.add(db);                                           // L116 filtered result
}

Collections.sort(dbNames);                                       // L119 sorts dbNames (unfiltered)

Pair<Integer, Integer> fromToIndex = getFromToIndex(request, dbNames.size());
return ResponseEntityBuilder.ok(dbNames.subList(...));           // L123 returns UNFILTERED dbNames

dbNameSet is dead code; the response returns the unfiltered, all-privilege dbNames.

Auth surface / impact

  • checkWithCookie always requires a valid authenticated session (Authorization header or valid cookie), so this is not anonymous access.
  • enable_all_http_auth defaults to false in most deployments. With the default, any authenticated non-admin user hitting /api/meta/{ns}/databases can enumerate every database name in the catalog, bypassing SHOW privilege.
  • When enable_all_http_auth = true, only admin can reach the endpoint, so the leakage is limited to admins.

Impact: information disclosure / privilege bypass at the metadata-enumeration level (database names only; table/column data is gated by other checks).

Correct reference (v2)

MetaInfoActionV2.getAllDatabases() does this correctly — it accumulates into filteredDbNames, sorts it, and returns it:

fe/fe-core/src/main/java/org/apache/doris/httpv2/restv2/MetaInfoActionV2.java (lines ~130–145)

List<String> filteredDbNames = Lists.newArrayList();
// ... checkDbPriv(SHOW) -> filteredDbNames.add(db)
Collections.sort(filteredDbNames);
return ResponseEntityBuilder.ok(filteredDbNames.subList(...));

Suggested fix

Align v1 with v2: return the privilege-filtered (and sorted) dbNameSet / filteredDbNames instead of dbNames, and drop the dead code. This is outside the scope of PR #65126 (external metadata cache refactor) and is tracked separately here.

Related

  • PR #65126 ([refactor](meta cache) Refactor external metadata cache with MetaCacheEntry)
Ngôn ngữ chính
Java
Star
16.1k
Fork
4k
Merge trung bình
2 ngày 23 giờ
Pull request đã merge (30 ngày)
686

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của apache/doris

Tất cả issue của apache/doris

Issue tương tự

Thêm issue về Java

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.