【缝隙公告】Apache Cassandra远程代码执行缝隙（CVE-2021-44521）

颁布功夫 2022-02-14

 

0x00 缝隙概述

CVE   ID

CVE-2021-44521

时    间

2022-02-11

类    型

RCE

等    级

高危

远程利用

是

影响领域


攻击复杂度


用户交互


PoC/EXP


在野利用


 

0x01 缝隙详情

Apache Cassandra 是一个开源的NoSQL 散布式数据库 ，拥有可扩大性和高可用性 ，并被数千家占有大量活动数据集的公司使用  。

当使用下列不安全配置运行Apache Cassandra时 ，可能导致攻击者在主机上执行肆意代码（剧本化UDF的远程代码执行） ，但攻击者必要有足够的权限来创建用户界说函数才可能利用此缝隙：

enable_user_defined_functions: true

enable_scripted_user_defined_functions: true

enable_user_defined_functions_threads: false

 

影响领域

使用上述不安全配置的：

Apache Cassandra 3.0 < 3.0.26

Apache Cassandra 3.11 < 3.11.12

Apache Cassandra 4.0 < 4.0.2

 

0x02 安全建议

目前此缝隙已经建复 ，建议受影响用户实时升级更新到以下版本：

Apache Cassandra 3.0 版本用户升级到3.0.26  。

Apache Cassandra 3.11版本用户升级到3.11.12  。

Apache Cassandra 4.0版本用户升级到4.0.2  。

下载链接：

https://cassandra.apache.org/_/download.html

缓解措施：

若无法升级 ，可利用以下缓解措施：

设置enable_user_defined_functions_threads: true（默认设置）  。

 

0x03 参考链接

https://www.mail-archive.com/announce@apache.org/msg07102.html

https://nvd.nist.gov/vuln/detail/CVE-2021-44521

https://cassandra.apache.org/_/index.html

 

0x04 版本信息

版本

日期

批改内容

V1.0

2022-02-14

初次颁布

 

0x05 附录

888集团简介

888集团公司成立于1996年 ，并于2010年6月23日在深交所中幼板正式挂牌上市 ，是国内极具实力的、占有齐全自主知识产权的网络安全产品、可信安全治理平台、安全服务与解决规划的综合提供商  。

公司总部位于北京市中关村软件园 ，在全国各省、视注自治区设有分支机构 ，占有覆盖全国的渠路系统和技术支持中心 ，并在北京、上海、成都、昭通、长沙、荆门等多地设有研发中心  。

多年来 ，888集团致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务 ，援手客户全面提升其IT基础设施的安全性和出产效力 ，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力  。

 

关于888集团

888集团安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报  。

关注以下公家号 ，获取全球最新安全资讯：

image.png