BDU:2025-01159

Опубликовано: 27 янв. 2025

Источник: fstec

CVSS3: 9.9

CVSS2: 9

EPSS Низкий

Описание

Уязвимость компонентов CassandraNetworkAuthorizer и CassandraCIDRAuthorizer распределённой системы управления базами данных Apache Cassandra связана с недостатками механизма авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии путем отправки специально сформированных DCL-команд

Вендор

ООО «Ред Софт»

Apache Software Foundation

Наименование ПО

РЕД ОС

Cassandra

Версия ПО

7.3 (РЕД ОС)

от 4.0.0 до 4.0.15 включительно (Cassandra)

от 4.1.0 до 4.1.7 включительно (Cassandra)

от 5.0.0 до 5.0.2 включительно (Cassandra)

Тип ПО

Операционная система

СУБД

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения удалённого доступа к СУБД;

- ограничение доступа к СУБД из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN) к СУБД.

Использование рекомендаций производителя:

https://lists.apache.org/thread/yjo5on4tf7s1r9qklc4byrz30b8vkm2d

Для РЕД ОС:

https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-cassandra-cve-2025-24860-cve-2024-27137/?sphrase_id=1370572

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-24860
CVE

EPSS

Процентиль: 26%

0.0009

Низкий

9.9 Critical

CVSS3

9 Critical

CVSS2

Связанные уязвимости

ROS-20251203-03

CVSS3: 9.9

redos

25 дней назад

Множественные уязвимости Cassandra

CVE-2025-24860

CVSS3: 5.4

redhat

11 месяцев назад

Incorrect Authorization vulnerability in Apache Cassandra allowing users to access a datacenter or IP/CIDR groups they should not be able to when using CassandraNetworkAuthorizer or CassandraCIDRAuthorizer. Users with restricted data center access can update their own permissions via data control language (DCL) statements on affected versions. This issue affects Apache Cassandra: from 4.0.0 through 4.0.15 and from 4.1.0 through 4.1.7 for CassandraNetworkAuthorizer, and from 5.0.0 through 5.0.2 for both CassandraNetworkAuthorizer and CassandraCIDRAuthorizer. Operators using CassandraNetworkAuthorizer or CassandraCIDRAuthorizer on affected versions should review data access rules for potential breaches. Users are recommended to upgrade to versions 4.0.16, 4.1.8, 5.0.3, which fixes the issue.

CVE-2025-24860

CVSS3: 5.4

nvd

11 месяцев назад

CVE-2025-24860

CVSS3: 5.4

debian

11 месяцев назад

Incorrect Authorization vulnerability in Apache Cassandra allowing use ...

GHSA-3cjf-fwcq-xh22

CVSS3: 5.4

github

11 месяцев назад

Apache Cassandra: CassandraNetworkAuthorizer and CassandraCIDRAuthorizer can be bypassed allowing access to different network regions

EPSS

Процентиль: 26%

0.0009

Низкий

9.9 Critical

CVSS3

9 Critical

CVSS2