近日,安全狗应急响应中心监测Apache Cassandra被露出远程代码执行漏洞,漏洞编号CVE-2021-44521,可导致恶意用户远程代码执行等危害。
为避免您的业务受影响,安全狗建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。
漏洞描述
Apache Cassandra是Apache基金会的一个分布式Nosql数据库。Cassandra是一个混合型的非关系的数据库,类似于Google的BigTable,具有可扩展性和高可用性,并被数千家拥有大量活动数据集的公司使用。
当使用以下不安全的配置运行Apache Cassandra时:
enable_user_defined_functions:true
enable_scripted_user_defined_functions:true
enable_user_defined_functions_threads:false
可能导致攻击者在主机上执行任意代码,但攻击者需要有足够的权限来创建用户定义函数才能够利用此漏洞。
安全通告信息
漏洞名称 | Apache Cassandra远程代码执行漏洞 |
漏洞影响版本 | Apache Cassandra 3.0~3.0.26之间的所有版本 Apache Cassandra 3.11~3.11.12之间的所有版本 Apache Cassandra 4.0~4.0.2之间的所有版本 |
漏洞危害等级 | 高危 |
厂商是否已发布漏洞补丁 | 是 |
版本更新地址 | https://www.mail-archive.com/announce@apache.org/msg07102.html https://nvd.nist.gov/vuln/detail/CVE-2021-44521 https://cassandra.apache.org/_/index.html |
安全狗总预警期数 | 200 |
安全狗发布预警日期 | 2022年2月14日 |
安全狗更新预警日期 | 2022年2月14日 |
发布者 | 安全狗海青实验室 |
漏洞影响范围
Apache Cassandra 3.0<3.0.26
Apache Cassandra 3.11<3.11.12
Apache Cassandra 4.0<4.0.2
处置措施
安全建议
目前此漏洞已经修复,建议受影响用户及时升级更新到以下版本:
Apache Cassandra 3.0版本用户升级到3.0.26。
Apache Cassandra 3.11版本用户升级到3.11.12。
Apache Cassandra 4.0版本用户升级到4.0.2。
下载链接:
https://cassandra.apache.org/_/download.html
临时缓解措施
若暂时无法升级,缓解措施如下:
设置enable_user_defined_functions_threads:true(默认设置)。
修复建议
https://www.mail-archive.com/announce@apache.org/msg07102.html
https://nvd.nist.gov/vuln/detail/CVE-2021-44521
https://cassandra.apache.org/_/index.html