CVE-2018-8016

Apache Cassandra: nieuwierzytelniony interfejs JMX/RMI umożliwia RCE

CVSS 9.8v3.0pub. 2018-06-28upd. 2024-11-21

Domyślna konfiguracja Apache Cassandra w wersjach 3.8–3.11.1 udostępnia nieuwierzytelniony interfejs JMX/RMI na wszystkich interfejsach sieciowych, co umożliwia zdalnym atakującym wykonanie dowolnego kodu Java. Podatność jest regresją wcześniej naprawionej luki CVE-2015-0225 i uzyskała krytyczny wynik CVSS 9.8.

▸ Pokaż oryginał (EN)

The default configuration in Apache Cassandra 3.8 through 3.11.1 binds an unauthenticated JMX/RMI interface to all network interfaces, which allows remote attackers to execute arbitrary Java code via an RMI request. This issue is a regression of CVE-2015-0225. The regression was introduced in https://issues.apache.org/jira/browse/CASSANDRA-12109. The fix for the regression is implemented in https://issues.apache.org/jira/browse/CASSANDRA-14173. This fix is contained in the 3.11.2 release of Apache Cassandra.

🤖 Analiza AI

Jak działa

Interfejs JMX/RMI (Java Management Extensions / Remote Method Invocation) jest wystawiany przez domyślną konfigurację na wszystkich interfejsach sieciowych bez jakiegokolwiek mechanizmu uwierzytelniania (CWE-306: brak uwierzytelniania dla funkcji krytycznej). Atakujący może wysłać odpowiednio spreparowane żądanie RMI do dostępnego portu i wykonać dowolny kod Java w kontekście procesu Cassandra. Problem pojawił się jako regresja wprowadzona w ramach zmiany CASSANDRA-12109 i dotknął wszystkie wersje od 3.8 do 3.11.1.

Skutki

Atakujący bez żadnego uwierzytelnienia może zdalnie wykonać dowolny kod Java na serwerze (RCE), co może prowadzić do pełnego przejęcia kontroli nad węzłem Cassandra, kradzieży danych oraz dalszego lateral movement w sieci.

Mitygacja

Należy zaktualizować Apache Cassandra do wersji 3.11.2 lub nowszej, która zawiera poprawkę zaimplementowaną w ramach CASSANDRA-14173. Dodatkowo zaleca się ograniczenie dostępu do portu JMX/RMI na poziomie firewalla wyłącznie do zaufanych adresów IP oraz włączenie uwierzytelniania JMX w konfiguracji.