首頁 > 安全研究 > 安全通報 > 安全通告

CVE-2020-13946 | Apache Cassandra RMI漏洞通告

發布時間 2020-09-03


0x00 漏洞概述

CVE   ID

CVE-2020-13946

時    間

2020-09-03

類    型


等    級

中危

遠程利用


影響范圍

Apache Cassandra 2.1.x: <2.1.22

Apache Cassandra 2.2.x: <2.2.18

Apache Cassandra 3.0.x: <3.0.22

Apache Cassandra 3.11.x: <3.11.8

Apache Cassandra 4.0-beta1: <4.0-beta2



2020年09月01日，Apache官方發布了 Apache Cassandra RMI 重新綁定漏洞的安全通告，該漏洞編號為 （CVE-2020-13946）。該漏洞是由于在Apache Cassandra中，本地攻擊者沒有權限訪問Apache Cassandra進程或配置文件，但本地攻擊者可以操作RMI注冊表來執行中間人攻擊，并獲取用于訪問JMX接口的用戶名和密碼，然后利用這些憑證訪問JMX接口并執行未經授權的操作。

0x01 漏洞詳情

圖片7.png

Apache Cassandra是一套開源分布式數據庫管理系統，由Facebook開發，其基于 Amazon Dynamo 的分布式設計和 Google Bigtable 的數據模型來提供NoSQL數據存儲，從而提供高可用性和高擴展性，常用于一些流行的網站中。

此外，攻擊者可以通過結合一個JRE漏洞（CVE-2019-2684）使得Apache Cassandra RMI重新綁定漏洞（CVE-2020-13946）被遠程利用。

CVE-2019-2684是Java SE和Java SE Embedded組件的子組件RMI中的一個漏洞，該漏洞使得未經身份驗證的攻擊者可以通過多種協議訪問網絡，從而破壞Java SE和Java SE Embedded。該漏洞被成功利用可能導致的所有Java SE、Java SE Embedded的可訪問數據被攻擊者進行未授權創建、刪除或修改。受該漏洞影響的版本為Java SE：7u211、8u202、11.0.2和12；Java SE Embedded：8u201。

0x02 處置建議

建議及時將Apache Cassandra升級到最新版本。

2.1.x版本升級到2.1.22版本

2.2.x版本升級到2.2.18版本

3.0.x版本升級到3.0.22版本

3.11.x版本升級到3.11.8版本

4.0-beta1版本升級到4.0-beta2版本

下載地址：

https://www.apache.org/dyn/closer.lua/cassandra/2.1.22/apache-cassandra-2.1.22-bin.tar.gz

https://www.apache.org/dyn/closer.lua/cassandra/2.2.18/apache-cassandra-2.2.18-bin.tar.gz

https://www.apache.org/dyn/closer.lua/cassandra/3.0.22/apache-cassandra-3.0.22-bin.tar.gz

https://www.apache.org/dyn/closer.lua/cassandra/3.11.8/apache-cassandra-3.11.8-bin.tar.gz

https://www.apache.org/dyn/closer.lua/cassandra/4.0-beta2/apache-cassandra-4.0-beta2-bin.tar.gz

0x03 相關新聞

https://haxf4rall.com/2020/09/02/cve-2020-13946-apache-cassandra-rmi-rebind-vulnerability-alert/

0x04 參考鏈接

https://www.mail-archive.com/dev@cassandra.apache.org/msg15735.html

https://seclists.org/oss-sec/2020/q3/143

0x05 時間線

2020-09-01 Apache官方發布預警

2020-09-03 VSRC發布漏洞通告




圖片5.png

上一篇 下一篇