FreeBSD：cassandra -- 任意コードのリモート実行（607f4d44-0158-11e5-8fda-002590263bf5）

high Nessus プラグイン ID 83796

Language:

概要

リモート FreeBSD ホストに 1 つ以上のセキュリティ関連の更新が見つかりません。

説明

Jake Luciani 氏による報告：

デフォルト構成の場合、Cassandra は認証されていない JMX/RMI インターフェイスを、全てのネットワークインターフェイスにバインドします。RMI はシリアル化された Java の伝送およびリモート実行のための API であるため、このインターフェイスにアクセスできる人は誰でも実行ユーザーとして任意のコードを実行できます。

緩和：

1.2.x は製造中止になったため、1.2.x 以前のユーザーは、サポートされているバージョンの Cassandra にアップグレードするか、または JMX の暗号化と認証を手動構成することが推奨されます（https://wiki.apache.org/cassandra/JmxSecurity を参照）。

2.0.x のユーザーは 2.0.14 にアップグレードする必要があります

2.1.x のユーザーは 2.1.4 にアップグレードする必要があります

または、バージョンにかかわらずアップグレードを望まないユーザーは、以下のサイトの内容に従い、JMX/RMI を再構成して暗号化と認証を有効にすることができます：https://wiki.apache.org/cassandra/JmxSecurityor http://docs.oracle.com/javase/7/docs/technotes/guides/management/agent.html

情報提供：

この問題は、MWR InfoSecurity の Georgi Geshev 氏により発見されました。