NoSQL分散データベース「Apache Cassandra」に脆弱性 - 特定構成に注意

Apache Software Foundationが提供するオープンソースの分散型NoSQLデータベース「Apache Cassandra」に脆弱性が明らかとなった。

特定の構成において、クラスタ内でユーザー定義関数を作成する権限を持っているユーザーにより、ホスト上で任意のコードを実行されるおそれがある脆弱性「CVE-2021-44521」が明らかとなったもの。

「enable_user_defined_functions」「enable_scripted_user_defined_functions」を有効化し、「enable_user_defined_functions_threads」を無効化している場合に影響を受ける。

開発チームでは、重要度を「高（High）」とレーティング。一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」による共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」、「クリティカル（Critical）」と評価されている。

開発チームでは、脆弱性の影響を緩和した「同4.0.2」「同3.11.12」「同3.0.26」をリリースした。ただし、今回問題とされた構成はもともと安全ではない構成として文書化されており、注意を呼びかけている。

（Security NEXT - 2022/02/22 ）ツイート