Apache Cassandra: DoS Autenticado a través de Hashing de Contraseña ALTER ROLE

Esta vulnerabilidad permite a un atacante autenticado causar una denegación de servicio en el clúster de Apache Cassandra. El atacante puede lograr esto mediante el envío repetido de solicitudes de cambio de contraseña a través del lenguaje de consulta CQL. Cada solicitud de cambio de contraseña requiere que Cassandra realice una serie de operaciones internas, lo que consume recursos del sistema. Al enviar un gran número de estas solicitudes en un corto período de tiempo, el atacante puede sobrecargar el sistema, aumentando la latencia de las consultas para todos los usuarios y potencialmente haciendo que el clúster sea inaccesible. El impacto principal es la degradación del servicio y la interrupción de las operaciones que dependen de Cassandra.

Organizations running Apache Cassandra versions 4.0.0 through 5.0.6 are at risk, particularly those with a large number of users or applications relying on Cassandra for data storage. Shared hosting environments where multiple users have access to the Cassandra instance are also at increased risk.

• apache: Monitor Cassandra query latency using built-in metrics or external monitoring tools. Look for sudden and sustained increases in latency following password change events.

# Check Cassandra query latency using nodetool
nodetool cfstats | grep 'Read latency'

• apache: Examine Cassandra system logs for excessive password change requests originating from a single user or IP address.

# Filter Cassandra logs for password change events
zookeeper.log | grep 'Password changed for user'

1. 2026-04-07Disclosure

   disclosure

1. Reservado2026-03-12
2. Publicada2026-04-07
3. Modificada2026-04-09
4. EPSS actualizado2026-04-15

La mitigación principal para CVE-2026-32588 es actualizar a una versión de Apache Cassandra que contenga la corrección. Las versiones afectadas son 4.0.0 a 4.0.19, 4.1.0 a 4.1.10 y 5.0.0 a 5.0.6. La versión corregida es 4.0.20, 4.1.11 o 5.0.7. Si la actualización inmediata no es posible, considere limitar el número de solicitudes de cambio de contraseña permitidas por usuario en un período de tiempo determinado. Implementar reglas en un proxy inverso o firewall de aplicaciones web (WAF) para detectar y bloquear patrones de tráfico sospechosos que involucren múltiples solicitudes de cambio de contraseña en un corto período de tiempo puede ayudar a mitigar el riesgo. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que las solicitudes de cambio de contraseña no causen un aumento significativo en la latencia de las consultas.