FreeBSD：cassandra -- 遠端執行任意程式碼 (607f4d44-0158-11e5-8fda-002590263bf5)

high Nessus Plugin ID 83796

語系：

概要

遠端 FreeBSD 主機缺少一個或多個安全性相關更新。

說明

Jake Luciani 報告：

在其預設組態之下，Cassandra 將一個未經驗證的 JMX/RMI 介面繫結至所有網路介面。由於 RMI 是傳輸及遠端執行序列化 Java 的 API，能夠存取此介面的任何人都可以執行使用者的身分執行任意程式碼。

減輕措施：

1.2.x 已達 EOL，因此建議 <= 1.2.x 的使用者升級至 Cassandra 的支援版本，或手動設定 JMX 的加密與驗證，(請參閱 https://wiki.apache.org/cassandra/JmxSecurity)。

2.0.x 版的使用者應升級至 2.0.14 版

2.1.x 版的使用者應升級至 2.1.4 版

或者，不想升級之任何版本的使用者都可以根據 https://wiki.apache.org/cassandra/JmxSecurity 或 http://docs.oracle.com/javase/7/docs/technotes/guides/management/agent.html，將 JMX/RMI 重新設定為啟用加密與驗證。

報告者：

此問題由 MWR InfoSecurity 的 Georgi Geshev 發現。