安全狗漏洞通告|Apache Cassandra远程代码执行漏洞

近日，安全狗应急响应中心监测Apache Cassandra被露出远程代码执行漏洞，漏洞编号CVE-2021-44521，可导致恶意用户远程代码执行等危害。

为避免您的业务受影响，安全狗建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

漏洞描述

Apache Cassandra是Apache基金会的一个分布式Nosql数据库。Cassandra是一个混合型的非关系的数据库，类似于Google的BigTable，具有可扩展性和高可用性，并被数千家拥有大量活动数据集的公司使用。

当使用以下不安全的配置运行Apache Cassandra时：

enable_user_defined_functions:true

enable_scripted_user_defined_functions:true

enable_user_defined_functions_threads:false

可能导致攻击者在主机上执行任意代码，但攻击者需要有足够的权限来创建用户定义函数才能够利用此漏洞。

安全通告信息

漏洞名称	Apache Cassandra远程代码执行漏洞
漏洞影响版本	Apache Cassandra 3.0~3.0.26之间的所有版本 Apache Cassandra 3.11~3.11.12之间的所有版本 Apache Cassandra 4.0~4.0.2之间的所有版本
漏洞危害等级	高危
厂商是否已发布漏洞补丁	是
版本更新地址	https://www.mail-archive.com/announce@apache.org/msg07102.html https://nvd.nist.gov/vuln/detail/CVE-2021-44521 https://cassandra.apache.org/_/index.html
安全狗总预警期数	200
安全狗发布预警日期	2022年2月14日
安全狗更新预警日期	2022年2月14日
发布者	安全狗海青实验室

漏洞影响范围

Apache Cassandra 3.0<3.0.26

Apache Cassandra 3.11<3.11.12

Apache Cassandra 4.0<4.0.2

处置措施

安全建议

目前此漏洞已经修复，建议受影响用户及时升级更新到以下版本：

Apache Cassandra 3.0版本用户升级到3.0.26。

Apache Cassandra 3.11版本用户升级到3.11.12。

Apache Cassandra 4.0版本用户升级到4.0.2。

下载链接：

https://cassandra.apache.org/_/download.html

临时缓解措施

若暂时无法升级，缓解措施如下：

设置enable_user_defined_functions_threads:true（默认设置）。

修复建议

https://www.mail-archive.com/announce@apache.org/msg07102.html

https://nvd.nist.gov/vuln/detail/CVE-2021-44521

https://cassandra.apache.org/_/index.html