Apache Cassandra RMI重新绑定漏洞 (CVE-2020-13946) 预警

一、基本情况

近日，监测发现Apache官方发布Apache Cassandra RMI重新绑定漏洞（CVE-2020-13946）的风险通告。攻击者可利用该漏洞访问JMX接口并执行未经授权的操作。因Apache Cassandra使用广泛，漏洞影响范围较广。目前，厂商已发布修复版本，建议广大用户及时将Apache Cassandra升级到最新版本，做好资产自查以及预防工作，以免遭受黑客攻击。

二、漏洞详情

Apache Cassandra是一套开源分布式NoSQL数据库系统。它最初由Facebook开发，用于改善电子邮件系统的搜索性能的简单格式数据，集Google BigTable的数据模型与Amazon Dynamo的完全分布式架构于一身。

Apache Cassandra 2.1.22、2.2.18、3.0.22、3.11.8和4.0-beta2之前版本存在该漏洞，该漏洞是由于未授权限访问Apache Cassandra进程或配置文件的本地攻击者可以操作RMI注册表来执行中间人攻击，并获取用于访问JMX接口的用户名和密码。攻击者可以使用这些凭证访问JMX接口并执行未经授权的操作。

三、影响范围

Apache Cassandra 2.1.x: <2.1.22

Apache Cassandra 2.2.x: <2.2.18

Apache Cassandra 3.0.x: <3.0.22

Apache Cassandra 3.11.x: <3.11.8

Apache Cassandra 4.0-beta1: <4.0-beta2

四、处置建议

目前，厂商已发现修复，建议用户升级相对应版本：

2.1.x版本用户应升级到2.1.22版本

2.2.x版本用户应升级到2.2.18版本

3.0.x版本用户应升级到3.0.22版本

3.11.x版本用户应升级到3.11.8版本

4.0-beta1版本用户应升级到4.0-beta2版本

补丁下载链接：

https://cassandra.apache.org/download/

五、参考链接

https://www.mail-archive.com/dev@cassandra.apache.org/msg15735.html

支持单位：

深信服科技股份有限公司

声明：本文来自网络安全威胁信息共享平台，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。