форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Опасная уязвимость в Apache Cassandra"	+/–
Сообщение от opennews (ok) on 02-Апр-15, 20:46
В СУБД Apache Cassandra выявлена (http://mail-archives.apache.org/mod_mbox/cassandra-user/2015...) уязвимость (CVE-2015-0225), допускающая выполнение произвольного кода на сервере. Атака может быть осуществлена удалённо без выполнения аутентификации. Проблема обусловлена тем, что интерфейс JMX/RMI, предназначенный для передачи и удалённого выполнения сериализованного Java-кода, привязывается ко всем сетевым интерфейсам без какой-либо аутентификации. Пользователям веток 2.0.x и 2.1.x рекомендуется обновить свои системы до версий 2.0.14 и 2.1.4, пользователям ветки 1.2.x рекомендовано перейти на поддерживаемую ветку. При невозможности обновления пользователям рекомендовано вручную настроить шифрование и аутентификацию для JMX/RMI в соответствии с рекомендациями (https://wiki.apache.org/cassandra/JmxSecurity). URL: http://mail-archives.apache.org/mod_mbox/cassandra-user/2015... Новость: http://www.opennet.dev/opennews/art.shtml?num=41959
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Опасная уязвимость в Apache Cassandra"	+3 +/–
Сообщение от A.Stahl (ok) on 02-Апр-15, 20:46
>СУБД >для передачи и удалённого выполнения сериализованного Java-кода Какая забавная идея...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	3. "Опасная уязвимость в Apache Cassandra"	+/–
	Сообщение от Анончег on 03-Апр-15, 00:34
	"Это нормально" (С) Е.В. Малышева
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	9. "Опасная уязвимость в Apache Cassandra"	+1 +/–
	Сообщение от Аноним (??) on 03-Апр-15, 13:40
	"Ну это нормально!" (С) Г.Харламов
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	8. "Опасная уязвимость в Apache Cassandra"	–1 +/–
	Сообщение от Andrey Mitrofanov on 03-Апр-15, 11:51
	>>СУБД >>для передачи и удалённого выполнения сериализованного Java-кода > Какая забавная идея... Авторы той СУБД  просто были не в курсе реалий своей любимой джавва. Этот самый JMX - просто механизм RPC. Да, неча его без затычек наружу выставлять. Ну, теперь-то им об этом рассказали, они пофиксили. Заживут...
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Опасная уязвимость в Apache Cassandra"	+/–
Сообщение от Аноним (??) on 02-Апр-15, 22:20
да, первый момент когда подумалось чхорошо что фэйсбук, гугль и еще три корпорации, передумали эту БД использовать. в принципе нормальная хреновина. в пору когда она встала на ноги впервые - похожего было мало(это сейчас больше десятка только "толстых" аналогов и куча вяложивущих), лишь позднее и Мнезия и прчее - подтянулось.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	4. "Опасная уязвимость в Apache Cassandra"	–1 +/–
	Сообщение от Анончег on 03-Апр-15, 00:56
	> да, первый момент когда подумалось чхорошо что фэйсбук, гугль и еще три корпорации, передумали эту БД использовать. А чего это ты за них так запереживал ?
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

5. "Опасная уязвимость в Apache Cassandra"	+1 +/–
Сообщение от Дворник (??) on 03-Апр-15, 01:52
> привязывается ко всем сетевым интерфейсам без какой-либо аутентификации Хмм, а что, у кого-то ещё не iptables -P INPUT DROP? А выполнение произвольного кода (пусть даже и "сериализированного Java") даже с 127.0.0.1 - дыра априори. Неужто обновление полностью отключает эту, кхмм, "фичу"?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	6. "Опасная уязвимость в Apache Cassandra"	+/–
	Сообщение от Аноним (??) on 03-Апр-15, 10:22
	просто из любопытства, а Вы территориально где работаете? (смотрел профиль)
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Опасная уязвимость в Apache Cassandra"	+/–
Сообщение от рафидит (ok) on 03-Апр-15, 10:28
Семь бед - один ответ - Riak.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

10. "Опасная уязвимость в Apache Cassandra"	+/–
Сообщение от Омномномном on 03-Апр-15, 16:15
> удалённого выполнения сериализованного > Java-кода, привязывается ко всем сетевым > интерфейсам без какой-либо аутентификации. На третий день Неуловимый Джо заметил что можно просто заливать свой код на сервак...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема