CVE-2020-13946：Apache Cassandra RMI重新绑定漏洞通告

报告编号：B6-2020-090201

报告来源：360CERT

报告作者：360CERT

更新日期：2020-09-02

0x01 漏洞简述

2020年09月02日， 360CERT监测发现 Apache官方 发布了 Apache Cassandra RMI 重新绑定漏洞 的风险通告，该漏洞编号为 CVE-2020-13946，漏洞等级：中危，漏洞评分：6.8分。

在Apache Cassandra中，没有权限访问Apache Cassandra进程或配置文件的本地攻击者可以操作RMI注册表来执行中间人攻击，并获取用于访问JMX接口的用户名和密码，然后攻击者可以使用这些凭证访问JMX接口并执行未经授权的操作。

对此，360CERT建议广大用户及时将 Apache Cassandra升级到最新版本，下载地址为：

Downloading Cassandra

https://cassandra.apache.org/download/

与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	中危
影响面	一般
360CERT评分	6.8

0x03 漏洞详情

Apache Cassandra（社区内一般简称为C*）是一套开源分布式NoSQL数据库系统。它最初由Facebook开发，用于改善电子邮件系统的搜索性能的简单格式数据，集Google BigTable的数据模型与Amazon Dynamo的完全分布式架构于一身。

在Apache Cassandra中，没有权限访问Apache Cassandra进程或配置文件的本地攻击者可以操作RMI注册表来执行中间人攻击，并获取用于访问JMX接口的用户名和密码，然后攻击者可以使用这些凭证访问JMX接口并执行未经授权的操作。

用户还应该注意`CVE-2019-2684`，这是一个`JRE`的漏洞，通过`CVE-2019-2684`漏洞，可以造成`Apache Cassandra RMI`重新绑定漏洞被远程利用的影响。

0x04 影响版本

- Apache Cassandra 2.1.x: <2.1.22

- Apache Cassandra 2.2.x: <2.2.18

- Apache Cassandra 3.0.x: <3.0.22

- Apache Cassandra 3.11.x: <3.11.8

- Apache Cassandra 4.0-beta1: <4.0-beta2

0x05 修复建议

版本升级：

升级到最新版本：

- 2.1.x版本用户应升级到2.1.22版本

- 2.2.x版本用户应升级到2.2.18版本

- 3.0.x版本用户应升级到3.0.22版本

- 3.11.x版本用户应升级到3.11.8版本

- 4.0-beta1版本用户应升级到4.0-beta2版本

下载地址为：

Downloading Cassandra

https://cassandra.apache.org/download/

0x06 相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘，发现Apache Cassandra在全球均有广泛使用，具体分布如下图所示。

0x07 产品侧解决方案

360城市级网络安全监测服务

360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段，对该类漏洞进行监测，请用户联系相关产品区域负责人或(quake#360.cn)获取对应产品。

0x08 时间线

2020-09-01  Apache官方发布通告
2020-09-02  360CERT发布通告

0x09 参考链接

1、 CVE-2020-13946 Apache Cassandra RMI Rebind Vulnerability

https://www.mail-archive.com/[email protected]/msg15735.html

推荐阅读：

1、360-CERT每日安全简报（2020-09-01）

2、安全事件周报 (08.24-08.30)

3、安全运营周刊第六期

长按下方二维码关注360CERT！谢谢你的关注！

注：360CERT官方网站提供 《CVE-2020-13946：Apache Cassandra RMI重新绑定漏洞通告》 完整详情，点击阅读原文