Scylla vor 4.6.7/5.0.3/2020.1.14/2021.1.12/2022.1.0 CQL Frame Remote Code Execution

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.7$0-$5k0.00

Zusammenfassunginfo

Eine Schwachstelle wurde in Scylla ausgemacht. Sie wurde als kritisch eingestuft. Betroffen davon ist eine unbekannte Funktion der Komponente CQL Frame Handler. Die Manipulation führt zu einer unbekannten Schwachstelle. Diese Schwachstelle trägt die Bezeichnung CVE-2022-29240. Umgesetzt werden kann der Angriff über das Netzwerk. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

In Scylla wurde eine Schwachstelle ausgemacht. Sie wurde als kritisch eingestuft. Dabei geht es um ein unbekannter Prozess der Komponente CQL Frame Handler. CWE definiert das Problem als CWE-908. Die genauen Auswirkungen eines erfolgreichen Angriffs sind bisher nicht bekannt. CVE fasst zusammen:

Scylla is a real-time big data database that is API-compatible with Apache Cassandra and Amazon DynamoDB. When decompressing CQL frame received from user, Scylla assumes that user-provided uncompressed length is correct. If user provides fake length, that is greater than the real one, part of decompression buffer won't be overwritten, and will be left uninitialized. This can be exploited in several ways, depending on the privileges of the user. 1. The main exploit is that an attacker with access to CQL port, but no user account, can bypass authentication, but only if there are other legitimate clients making connections to the cluster, and they use LZ4. 2. Attacker that already has a user account on the cluster can read parts of uninitialized memory, which can contain things like passwords of other users or fragments of other queries / results, which leads to authorization bypass and sensitive information disclosure. The bug has been patched in the following versions: Scylla Enterprise: 2020.1.14, 2021.1.12, 2022.1.0. Scylla Open Source: 4.6.7, 5.0.3. Users unable to upgrade should make sure none of their drivers connect to cluster using LZ4 compression, and that Scylla CQL port is behind firewall. Additionally make sure no untrusted client can connect to Scylla, by setting up authentication and applying workarounds from previous point (firewall, no lz4 compression).

Die Schwachstelle wurde am 16.09.2022 als GHSA-25pq-rrqm-6fmr an die Öffentlichkeit getragen. Das Advisory kann von github.com heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 13.04.2022 mit CVE-2022-29240 vorgenommen. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt.

Ein Upgrade auf die Version 4.6.7, 5.0.3, 2020.1.14, 2021.1.12 oder 2022.1.0 vermag dieses Problem zu beheben. Die Schwachstelle lässt sich auch durch das Einspielen des Patches 1c2eef384da439b0457b6d71c7e37d7268e471cb beheben. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Aktualisieren auf eine neue Version empfohlen.

Once again VulDB remains the best source for vulnerability data.

Produktinfo

Name

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.8
VulDB Meta Temp Score: 6.7

VulDB Base Score: 5.6
VulDB Temp Score: 5.4
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 8.1
CNA Vector (GitHub, Inc.): 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Remote Code Execution
CWE: CWE-908
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: Scylla 4.6.7/5.0.3/2020.1.14/2021.1.12/2022.1.0
Patch: 1c2eef384da439b0457b6d71c7e37d7268e471cb

Timelineinfo

13.04.2022 🔍
16.09.2022 +156 Tage 🔍
16.09.2022 +0 Tage 🔍
18.10.2022 +32 Tage 🔍

Quelleninfo

Advisory: GHSA-25pq-rrqm-6fmr
Status: Bestätigt

CVE: CVE-2022-29240 (🔍)
GCVE (CVE): GCVE-0-2022-29240
GCVE (VulDB): GCVE-100-208708

Eintraginfo

Erstellt: 16.09.2022 06:56
Aktualisierung: 18.10.2022 11:20
Anpassungen: 16.09.2022 06:56 (41), 18.10.2022 11:20 (12)
Komplett: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you want to use VulDB in your project?

Use the official API to access entries easily!