Platform
java
Component
org.apache.cassandra:cassandra-all
Opgelost in
3.0.26
3.11.12
4.0.2
3.0.26
CVE-2021-44521 beschrijft een kwetsbaarheid voor code-uitvoering in Apache Cassandra. Deze kwetsbaarheid ontstaat door een onveilige configuratie waarbij user-defined functions (UDFs) en scripted UDFs zijn ingeschakeld. Een succesvolle exploitatie kan leiden tot het uitvoeren van willekeurige code op de server. De kwetsbaarheid treft Cassandra versies tot en met 3.0.9, en een patch is beschikbaar in versie 3.0.26.
Een aanvaller die deze kwetsbaarheid kan misbruiken, kan willekeurige code uitvoeren met de privileges van de Cassandra-proces. Dit betekent dat de aanvaller potentieel volledige controle kan krijgen over de server waarop Cassandra draait. De impact is aanzienlijk, aangezien de aanvaller toegang kan krijgen tot gevoelige gegevens, de server kan compromitteren en mogelijk toegang kan krijgen tot andere systemen binnen het netwerk. Dit is vergelijkbaar met scenario's waarbij UDFs worden gebruikt om shell-commando's uit te voeren, waardoor een aanvaller de controle overneemt. De ernst wordt verhoogd door de mogelijkheid om UDFs te creëren met voldoende permissies om dit te bereiken.
Deze kwetsbaarheid werd publiek bekendgemaakt op 12 februari 2022. Er zijn momenteel geen bekende actieve campagnes die deze specifieke kwetsbaarheid misbruiken, maar de ernst van de kwetsbaarheid vereist onmiddellijke aandacht. Het is opgenomen in het CISA KEV catalogus, wat de potentiële dreiging onderstreept. Er zijn publieke proof-of-concept exploits beschikbaar, wat het risico op misbruik vergroot.
Organizations running Apache Cassandra in production environments, particularly those utilizing user-defined functions, are at risk. Environments with less stringent access controls, where users have broad permissions to create objects within the Cassandra cluster, are especially vulnerable. Shared hosting environments where multiple tenants share a Cassandra instance are also at increased risk.
• linux / server:
journalctl -u cassandra | grep -i "user defined function"• java:
Inspect cassandra.yaml for the presence of enableuserdefinedfunctions: true, enablescripteduserdefinedfunctions: true, and enableuserdefinedfunctions_threads: false.
• generic web:
Check Cassandra configuration files for the vulnerable settings. Review access logs for unusual UDF creation requests.
discovery
disclosure
patch
Exploit Status
EPSS
90.61% (100% percentiel)
CVSS-vector
De primaire mitigatie is het upgraden naar Cassandra versie 3.0.26 of hoger. Indien een upgrade direct niet mogelijk is, is het sterk aanbevolen om de configuratie enableuserdefinedfunctions, enablescripteduserdefinedfunctions en enableuserdefinedfunctions_threads uit te schakelen. Dit beperkt de mogelijkheden voor UDF-exploitatie aanzienlijk. Gebruik een Web Application Firewall (WAF) of proxy om verdachte UDF-aanvragen te blokkeren. Controleer de Cassandra-logbestanden op ongebruikelijke UDF-activiteit. Na de upgrade, verifieer de fix door te controleren of UDFs nog steeds correct werken en dat de onveilige configuratie is uitgeschakeld.
Werk Apache Cassandra bij naar versie 3.0.26, 3.11.12 of 4.0.2, of hoger, afhankelijk van uw versie branch. Zorg ervoor dat gescripte user defined functions (UDF) worden uitgeschakeld als ze niet nodig zijn, of voer ze uit in een veilige omgeving. Als gescripte UDF's nodig zijn, vermijd dan de gedocumenteerde onveilige configuratie.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2021-44521 is a critical remote code execution vulnerability in Apache Cassandra versions 3.0.0 through 3.0.9. Attackers can execute arbitrary code by exploiting unsafe configurations related to user-defined functions.
You are affected if you are running Apache Cassandra versions 3.0.0 through 3.0.9 and have enabled user-defined functions with the vulnerable configuration settings.
Upgrade to Apache Cassandra version 3.0.26 or later. As a temporary workaround, disable user-defined functions in your cassandra.yaml configuration file.
While no active exploitation campaigns have been publicly confirmed, the vulnerability's severity and available proof-of-concept exploits suggest a high risk of exploitation.
Refer to the Apache Cassandra security advisory: https://cwiki.apache.org/confluence/display/CASSANDRA/Security
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je pom.xml-bestand en we vertellen je direct of je getroffen bent.