URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 101915
[ Назад ]
Исходное сообщение
"Опасная уязвимость в Apache Cassandra"
Отправлено opennews , 02-Апр-15 20:46 
В СУБД Apache Cassandra выявлена (http://mail-archives.apache.org/mod_mbox/cassandra-user/2015...) уязвимость (CVE-2015-0225), допускающая выполнение произвольного кода на сервере. Атака может быть осуществлена удалённо без выполнения аутентификации. Проблема обусловлена тем, что интерфейс JMX/RMI, предназначенный для передачи и удалённого выполнения сериализованного Java-кода, привязывается ко всем сетевым интерфейсам без какой-либо аутентификации. Пользователям веток 2.0.x и 2.1.x рекомендуется обновить свои системы до версий 2.0.14 и 2.1.4, пользователям ветки 1.2.x рекомендовано перейти на поддерживаемую ветку. При невозможности обновления пользователям рекомендовано вручную настроить шифрование и аутентификацию для JMX/RMI в соответствии с рекомендациями (https://wiki.apache.org/cassandra/JmxSecurity).

URL: http://mail-archives.apache.org/mod_mbox/cassandra-user/2015...
Новость: http://www.opennet.ru/opennews/art.shtml?num=41959

Содержание
Сообщения в этом обсуждении
"Опасная уязвимость в Apache Cassandra"
Отправлено A.Stahl , 02-Апр-15 20:46 
>СУБД
>для передачи и удалённого выполнения сериализованного Java-кода

Какая забавная идея...

"Опасная уязвимость в Apache Cassandra"
Отправлено Анончег , 03-Апр-15 00:34 
"Это нормально" (С) Е.В. Малышева
"Опасная уязвимость в Apache Cassandra"
Отправлено Аноним , 03-Апр-15 13:40 
"Ну это нормально!" (С) Г.Харламов
"Опасная уязвимость в Apache Cassandra"
Отправлено Andrey Mitrofanov , 03-Апр-15 11:51 
>>СУБД
>>для передачи и удалённого выполнения сериализованного Java-кода
> Какая забавная идея...

Авторы той СУБД  просто были не в курсе реалий своей любимой джавва. Этот самый JMX - просто механизм RPC. Да, неча его без затычек наружу выставлять.

Ну, теперь-то им об этом рассказали, они пофиксили. Заживут...

"Опасная уязвимость в Apache Cassandra"
Отправлено Аноним , 02-Апр-15 22:20 
да, первый момент когда подумалось чхорошо что фэйсбук, гугль и еще три корпорации, передумали эту БД использовать. в принципе нормальная хреновина. в пору когда она встала на ноги впервые - похожего было мало(это сейчас больше десятка только "толстых" аналогов и куча вяложивущих), лишь позднее и Мнезия и прчее - подтянулось.
"Опасная уязвимость в Apache Cassandra"
Отправлено Анончег , 03-Апр-15 00:56 
> да, первый момент когда подумалось чхорошо что фэйсбук, гугль и еще три корпорации, передумали эту БД использовать.

А чего это ты за них так запереживал ?

"Опасная уязвимость в Apache Cassandra"
Отправлено Дворник , 03-Апр-15 01:52 
> привязывается ко всем сетевым интерфейсам без какой-либо аутентификации

Хмм, а что, у кого-то ещё не iptables -P INPUT DROP?

А выполнение произвольного кода (пусть даже и "сериализированного Java") даже с 127.0.0.1 - дыра априори. Неужто обновление полностью отключает эту, кхмм, "фичу"?

"Опасная уязвимость в Apache Cassandra"
Отправлено Аноним , 03-Апр-15 10:22 
просто из любопытства, а Вы территориально где работаете? (смотрел профиль)
"Опасная уязвимость в Apache Cassandra"
Отправлено рафидит , 03-Апр-15 10:28 
Семь бед - один ответ - Riak.
"Опасная уязвимость в Apache Cassandra"
Отправлено Омномномном , 03-Апр-15 16:15 
> удалённого выполнения сериализованного
> Java-кода, привязывается ко всем сетевым
> интерфейсам без какой-либо аутентификации.

На третий день Неуловимый Джо заметил что можно просто заливать свой код на сервак...