【漏洞预警】Apache Cassandra RMI重新绑定漏洞通告（ CVE-2020-13946）

一、 漏洞介绍

Apache官方 发布了 Apache Cassandra RMI 重新绑定漏洞 的风险通告，Apache Cassandra（社区内一般简称为C*）是一套开源分布式NoSQL数据库系统。

它最初由Facebook开发，用于改善电子邮件系统的搜索性能的简单格式数据，集Google BigTable的数据模型与Amazon Dynamo的完全分布式架构于一身。

在Apache Cassandra中，没有权限访问Apache Cassandra进程或配置文件的本地攻击者可以操作RMI注册表来执行中间人攻击，并获取用于访问JMX接口的用户名和密码，然后攻击者可以使用这些凭证访问JMX接口并执行未经授权的操作。

二、 危害影响

Apache Cassandra 2.1.x:<2.1.22< span="">

Apache Cassandra 2.2.x:<2.2.18< span="">

Apache Cassandra 3.0.x:<3.0.22< span="">

Apache Cassandra 3.11.x:<3.11.8< span="">

Apache Cassandra 4.0-beta1:<4.0-beta2< span="">

三、 修复建议

版本升级

升级到最新版本：

2.1.x版本用户应升级到2.1.22版本

2.2.x版本用户应升级到2.2.18版本

3.0.x版本用户应升级到3.0.22版本

3.11.x版本用户应升级到3.11.8版本

4.0-beta1版本用户应升级到4.0-beta2版本

下载地址为：

Downloading Cassandra

https://cassandra.apache.org/download/