這篇文章給大家介紹Apache Cassandra RMI重新綁定的漏洞分析，內(nèi)容非常詳細(xì)，感興趣的小伙伴們可以參考借鑒，希望對大家能有所幫助。

成都創(chuàng)新互聯(lián)主營白堿灘網(wǎng)站建設(shè)的網(wǎng)絡(luò)公司,主營網(wǎng)站建設(shè)方案,成都App制作,白堿灘h5重慶小程序開發(fā)搭建,白堿灘網(wǎng)站營銷推廣歡迎白堿灘等地區(qū)企業(yè)咨詢

0x01 漏洞簡述

2020年09月02日， 360CERT監(jiān)測發(fā)現(xiàn) Apache官方 發(fā)布了 Apache Cassandra RMI 重新綁定漏洞 的風(fēng)險通告，該漏洞編號為 CVE-2020-13946，漏洞等級：中危，漏洞評分：6.8分。

在Apache Cassandra中，沒有權(quán)限訪問Apache Cassandra進(jìn)程或配置文件的本地攻擊者可以操作RMI注冊表來執(zhí)行中間人攻擊，并獲取用于訪問JMX接口的用戶名和密碼，然后攻擊者可以使用這些憑證訪問JMX接口并執(zhí)行未經(jīng)授權(quán)的操作。

對此，360CERT建議廣大用戶及時將 Apache Cassandra升級到最新版本，下載地址為：

Downloading Cassandra

https://cassandra.apache.org/download/

與此同時，請做好資產(chǎn)自查以及預(yù)防工作，以免遭受黑客攻擊。

0x02 風(fēng)險等級

360CERT對該漏洞的評定結(jié)果如下

評定方式	等級
威脅等級	中危
影響面	一般
360CERT評分	6.8

0x03 漏洞詳情

Apache Cassandra（社區(qū)內(nèi)一般簡稱為C*）是一套開源分布式NOSQL數(shù)據(jù)庫系統(tǒng)。它最初由Facebook開發(fā)，用于改善電子郵件系統(tǒng)的搜索性能的簡單格式數(shù)據(jù)，集Google BigTable的數(shù)據(jù)模型與Amazon Dynamo的完全分布式架構(gòu)于一身。

在Apache Cassandra中，沒有權(quán)限訪問Apache Cassandra進(jìn)程或配置文件的本地攻擊者可以操作RMI注冊表來執(zhí)行中間人攻擊，并獲取用于訪問JMX接口的用戶名和密碼，然后攻擊者可以使用這些憑證訪問JMX接口并執(zhí)行未經(jīng)授權(quán)的操作。

用戶還應(yīng)該注意`CVE-2019-2684`，這是一個`JRE`的漏洞，通過`CVE-2019-2684`漏洞，可以造成`Apache Cassandra RMI`重新綁定漏洞被遠(yuǎn)程利用的影響。

0x04 影響版本

- Apache Cassandra 2.1.x: <2.1.22

- Apache Cassandra 2.2.x: <2.2.18

- Apache Cassandra 3.0.x: <3.0.22

- Apache Cassandra 3.11.x: <3.11.8

- Apache Cassandra 4.0-beta1: <4.0-beta2

0x05 修復(fù)建議

版本升級：

升級到最新版本：

- 2.1.x版本用戶應(yīng)升級到2.1.22版本

- 2.2.x版本用戶應(yīng)升級到2.2.18版本

- 3.0.x版本用戶應(yīng)升級到3.0.22版本

- 3.11.x版本用戶應(yīng)升級到3.11.8版本

- 4.0-beta1版本用戶應(yīng)升級到4.0-beta2版本

下載地址為：

Downloading Cassandra

https://cassandra.apache.org/download/

關(guān)于Apache Cassandra RMI重新綁定的漏洞分析就分享到這里了，希望以上內(nèi)容可以對大家有一定的幫助，可以學(xué)到更多知識。如果覺得文章不錯，可以把它分享出去讓更多的人看到。

標(biāo)題名稱：ApacheCassandraRMI重新綁定的漏洞分析
網(wǎng)站網(wǎng)址：http://jinyejixie.com/article4/gceiie.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供面包屑導(dǎo)航、ChatGPT、搜索引擎優(yōu)化、關(guān)鍵詞優(yōu)化、外貿(mào)建站、用戶體驗

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)