CVE-2020-13946 | Apache Cassandra RMI缝隙公告
颁布功夫 2020-09-030x00 缝隙概述
CVE ID | CVE-2020-13946 | 时 间 | 2020-09-03 |
类 型 | 等 级 | 中危 | |
远程利用 | 影响领域 | Apache Cassandra 2.1.x: <2.1.22 Apache Cassandra 2.2.x: <2.2.18 Apache Cassandra 3.0.x: <3.0.22 Apache Cassandra 3.11.x: <3.11.8 Apache Cassandra 4.0-beta1: <4.0-beta2 |
2020年09月01日，，，，，，Apache官方颁布了 Apache Cassandra RMI 沉新绑定缝隙的安全公告，，，，，，该缝隙编号为 （CVE-2020-13946）。。。。。。。。该缝隙是由于在Apache Cassandra中，，，，，，本地攻击者没有权限接见Apache Cassandra过程或配置文件，，，，，，但本地攻击者可以操作RMI注册表来执行中央人攻击，，，，，，并获取用于接见JMX接口的用户名和密码，，，，，，而后利用这些凭证接见JMX接口并执行未经授权的操作。。。。。。。。
0x01 缝隙详情
Apache Cassandra是一套开源散布式数据库治理系统，，，，，，由Facebook开发，，，，，，其基于 Amazon Dynamo 的散布式设计和 Google Bigtable 的数据模型来提供NoSQL数据存储，，，，，，从而提供高可用性和高扩大性，，，，，，常用于一些盛行的网站中。。。。。。。。
此表，，，，，，攻击者能够通过结合一个JRE缝隙（CVE-2019-2684）使得Apache Cassandra RMI沉新绑定缝隙（CVE-2020-13946）被远程利用。。。。。。。。
CVE-2019-2684是Java SE和Java SE Embedded组件的子组件RMI中的一个缝隙，，，，，，该缝隙使得未经身份验证的攻击者能够通过多种和谈接见网络，，，，，，从而粉碎Java SE和Java SE Embedded。。。。。。。。该缝隙被成功利用可能导致的所有Java SE、Java SE Embedded的可接见数据被攻击者进行未授权创建、删除或批改。。。。。。。。受该缝隙影响的版本为Java SE：7u211、8u202、11.0.2和12； ；；；；；；Java SE Embedded：8u201。。。。。。。。
0x02 措置建议
建议实时将Apache Cassandra升级到最新版本。。。。。。。。
2.1.x版本升级到2.1.22版本
2.2.x版本升级到2.2.18版本
3.0.x版本升级到3.0.22版本
3.11.x版本升级到3.11.8版本
4.0-beta1版本升级到4.0-beta2版本
下载地址：
https://www.apache.org/dyn/closer.lua/cassandra/2.1.22/apache-cassandra-2.1.22-bin.tar.gz
https://www.apache.org/dyn/closer.lua/cassandra/2.2.18/apache-cassandra-2.2.18-bin.tar.gz
https://www.apache.org/dyn/closer.lua/cassandra/3.0.22/apache-cassandra-3.0.22-bin.tar.gz
https://www.apache.org/dyn/closer.lua/cassandra/3.11.8/apache-cassandra-3.11.8-bin.tar.gz
https://www.apache.org/dyn/closer.lua/cassandra/4.0-beta2/apache-cassandra-4.0-beta2-bin.tar.gz
0x03 有关新闻
https://haxf4rall.com/2020/09/02/cve-2020-13946-apache-cassandra-rmi-rebind-vulnerability-alert/
0x04 参考链接
https://www.mail-archive.com/dev@cassandra.apache.org/msg15735.html
https://seclists.org/oss-sec/2020/q3/143
0x05 功夫线
2020-09-01 Apache官方颁布预警
2020-09-03 VSRC颁布缝隙公告
京公网安备11010802024551号