FreeBSD：cassandra -- 远程执行任意代码 (607f4d44-0158-11e5-8fda-002590263bf5)

high Nessus 插件 ID 83796

语言：

简介

远程 FreeBSD 主机缺少一个或多个与安全有关的更新。

描述

Jake Luciani 报告：

在默认配置下，Cassandra 将未经认证的 JMX/RMI 接口绑定到所有网络接口。由于 RMI 是用于已序列化 Java 的传输和远程执行的 API，所以有权访问此接口的任何人都可以以运行用户的身份执行任意代码。

缓解：

1.2.x 已达到 EOL，所以建议 <= 1.2.x 的用户升级到支持的 Cassandra 版本，或手动配置 JMX 的加密和认证（请参阅 https://wiki.apache.org/cassandra/JmxSecurity）。

2.0.x 用户应升级到 2.0.14

2.1.x 用户应升级到 2.1.4

此外，不希望升级的任何版本用户均可重新配置 JMX/RMI，以便根据 https://wiki.apache.org/cassandra/JmxSecurity 或 http://docs.oracle.com/javase/7/docs/technotes/guides/management/agent.html 启用加密和认证

鸣谢：

此问题由 MWR InfoSecurity 的 Georgi Geshev 发现