登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202207/1644523_30003_0.htm

Apache Cassandra远程代码执行漏洞通告(CVE-2021-44521)

【发布时间：2022-07-06】

漏洞综述

漏洞背景

Apache Cassandra 是一个基于 Amazon Dynamo 的分布式设计和 Google Bigtable 的数据模型开发的分布式NoSQL数据库系统，具有分布式、去中心化、弹性可扩展、高可用性、没有单点故障、一致性可调、面向行等的特点，可用于管理大量的结构化数据。近日，新华三攻防实验室威胁预警团队监测到Apache Cassandra官方发布了安全公告，修复了一个远程代码执行漏洞（CVE-2021-44521），成功利用此漏洞可在目标服务器执行任意代码。

漏洞原理

该漏洞是由于Apache Cassandra在使用下列不安全的配置运行时，具有创建用户自定义函数权限的恶意攻击者可以在目标服务器上执行任意代码（脚本化UDF的远程代码执行）：

enable_user_defined_functions: true

enable_scripted_user_defined_functions: true

enable_user_defined_functions_threads: false

影响范围

3.0 <= Apache Cassandra < 3.0.26

3.11 <= Apache Cassandra < 3.11.12

4.0 <= Apache Cassandra < 4.0.2

漏洞等级：高危

处置方法

官方补丁

目前官方已发布最新版本，请受影响用户尽快更新。官方链接：https://cassandra.apache.org/_/download.html

临时修复建议

设置enable_user_defined_functions_threads: true（默认设置）。

参考链接

https://www.openwall.com/lists/oss-security/2022/02/11/4

新华三官网
联系我们