Apache Cassandra (Netty): Schwachstelle ermöglicht Denial of Service
WID-SEC-2026-0254 · première publication 29.01.2026 · mise à jour 14.09.2026 · CVSS 5,5
De quoi il s’agit
Cassandra ist ein einfaches, verteiltes Datenbankverwaltungssystem für sehr große strukturierte Datenbanken. Ein lokaler Angreifer kann eine Schwachstelle in Apache Cassandra ausnutzen, um einen Denial of Service Angriff durchzuführen.
Dans quelles conditions ?
Uniquement avec un accès à l’appareil ou à un compte sur celui-ci. Souvent la deuxième étape après un e-mail de phishing.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- einen Denial of Service Angriff durchzuführen
Suis-je concerné ?
Concernés selon le BSI :
- IBM License Metric Tool
- Apache Cassandra <4.0.20
- Apache Cassandra <4.1.11
- Apache Cassandra <5.0.7
- Apache Cassandra <5.1
- IBM Cognos Analytics <12.1.3 FP2
- IBM Cognos Analytics <12.0.4 FP3
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Apache Cassandra 4.0.20
- Apache Cassandra 4.1.11
- Apache Cassandra 5.0.7
- Apache Cassandra 5.1
- IBM Cognos Analytics 12.1.3 FP2
- IBM Cognos Analytics 12.0.4 FP3
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Apache Mailing List vom 2026-01-28 lists.apache.org
- Cassandra issue vom 2026-01-28 issues.apache.org
- Commit Auf GitHub vom 2026-01-28 github.com
- PoC vom 2026-01-28 github.com
- IBM Security Bulletin 7270885 vom 2026-04-27 www.ibm.com
- IBM Security Bulletin 7287209 vom 2026-09-11 www.ibm.com
CVE: CVE-2024-47535
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.