Apache Cassandra’da aniqlangan yuqori darajali zaiflik orqali masofadan turib ma’lumot markazlariga kirish mumkin!

Bugungi kunda keng qo‘llaniladigan taqsimlangan ma’lumotlar bazasi tizimi — Apache Cassandra’da xavfsizlik bilan bog‘liq jiddiy zaiflik aniqlandi. CVE-2025-24860 identifikatori bilan qayd etilgan ushbu zaiflik foydalanuvchilarga ruxsatsiz tarzda ma’lumot markazlariga yoki tarmoq hududlariga kirish imkonini beradi.

Mazkur muammo aynan maxsus avtentifikatsiya sozlamalari bilan bog‘liq bo‘lib, ba’zi foydalanuvchilar cheklangan huquqlarga ega bo‘lsa ham, o‘z ruxsat darajalarini oshirib, kengroq imkoniyatga ega bo‘lishlari mumkin.

Aniqlangan zaiflik Apache Cassandra tizimida noto‘g‘ri avtentifikatsiya (Incorrect Authorization) muammosidan kelib chiqadi. Bu muammo CassandraNetworkAuthorizer va CassandraCIDRAuthorizer kabi komponentlarga bog‘liq bo‘lib, ular ma’lumotlar bazasiga faqat ma’lum IP-manzillar yoki tarmoq hududlaridan kirishga ruxsat berish uchun ishlatiladi. Ammo ushbu zaiflik sababli, cheklangan ruxsatga ega bo‘lgan foydalanuvchilar DCL (Data Control Language) buyrug‘idan foydalanib, o‘z ruxsatlarini oshirishlari mumkin.

Bu esa quyidagi xavf-xatarlarga olib kelishi mumkin:

  • Tizim xavfsizligining buzilishi – tajovuzkorlar ruxsatlarni o‘zgartirib, ma’lumotlarga ruxsatsiz kirishlari mumkin;
  • Tarmoq xavfsizligiga tahdid – kompaniyaning ichki ma’lumotlar markazlari himoyasiz qolishi mumkin;
  • Ma’lumotlarning o‘g‘irlanishi yoki buzilishi – maxfiy hujjatlar va muhim ma’lumotlar ruxsatsiz shaxslarga ochilib ketishi ehtimoli mavjud.

Ushbu zaiflik quyidagi Apache Cassandra versiyalariga ta’sir qiladi:

  • 4.0.0 dan 4.0.15 gacha
  • 4.1.0 dan 4.1.7 gacha
  • 5.0.0 dan 5.0.2 gacha

Shuningdek, ushbu zaiflik ta’sir qiladigan komponentlar quyidagilardir:

  • CassandraNetworkAuthorizer – 4.0.0–4.0.15 va 4.1.0–4.1.7 versiyalarida;
  • CassandraNetworkAuthorizer va CassandraCIDRAuthorizer – 5.0.0–5.0.2 versiyalarida.

Apache Cassandra jamoasi ushbu zaiflikni bartaraf etish uchun quyidagi versiyalarni taqdim etdi:

  • 4.0.16
  • 4.1.8
  • 5.0.3

Ushbu yangilanishlar zaiflikni tuzatib, tizimdagi avtentifikatsiya mexanizmlarini to‘g‘ri ishlashini ta’minlaydi. Barcha operator va tizim ma’murlariga imkon qadar tezroq ushbu yangilanishlarni o‘rnatish tavsiya etiladi.

Agar yangilanishni hozircha o‘rnatish imkoni bo‘lmasa, quyidagi xavfsizlik choralarini ko‘rish tavsiya etiladi:

  1. Avtentifikatsiya va ruxsat nazoratini qayta ko‘rib chiqish – foydalanuvchilar va administratorlarning ruxsatlarini tekshiring.
  2. Ma’lumotlar bazasining kirish huquqlarini cheklash – ruxsatsiz IP-manzillar yoki tarmoqlardan foydalanishni cheklang.
  3. DCL buyrug‘larini kuzatib borish – foydalanuvchilar tomonidan ruxsatlarning o‘zgarishi haqida ogohlantirish tizimini yoqish.
  4. Ma’lumotlar bazasini muntazam tekshirish – tizim jurnalini tahlil qilib, shubhali harakatlarni aniqlash.

CVE-2025-24860 zaifligi Apache Cassandra foydalanuvchilari uchun katta xavf tug‘diradi, chunki u tizimni himoyasiz qoldirib, tajovuzkorlarga ruxsatsiz kirish imkoniyatini yaratadi. Bu kabi muammolarni bartaraf etish uchun doimiy ravishda yangilanishlarni o‘rnatish va xavfsizlik choralarini kuchaytirish zarur.

Bu zaiflik Apache Cassandra jamoasiga Stefan Miklosovic tomonidan yetkazilgan bo‘lib, hozirda Apache rasmiy sayti va cve.org sahifalarida rasmiy xavfsizlik bo‘yicha ma’lumotlar chop etilgan.

Shunday ekan, agar siz Apache Cassandra’dan foydalanayotgan bo‘lsangiz, tezroq tizimingizni yangilang va xavfsizlik choralarini kuchaytiring!

Skip to content