Apache Cassandra中发现CVE-2025-24860安全漏洞，该漏洞涉及授权绕过问题，可能导致未经授权的用户访问数据中心或网络区域，甚至通过DCL语句提升权限。受影响的版本包括4.0.0至4.0.15、4.1.0至4.1.7以及5.0.0至5.0.2。强烈建议使用受影响授权器的运维人员检查数据访问规则，并尽快升级到已修复的版本4.0.16、4.1.8或5.0.3，以降低潜在风险，确保数据库系统的安全性和完整性。

⚠️ CVE-2025-24860漏洞允许未经授权的用户访问受限的数据中心或网络区域，威胁数据安全。

🛡️ 该漏洞存在于Cassandra网络授权器和Cassandra CIDR授权器中，通过DCL语句可绕过访问控制，提升用户权限。

✅ 运维人员应立即检查数据访问规则，确认是否存在违规情况，并升级至4.0.16、4.1.8或5.0.3版本以修复漏洞。

在广泛使用的分布式数据库系统 Apache Cassandra 中，发现了一个新的安全漏洞，编号为 CVE – 2025 – 24860。该漏洞涉及授权绕过问题，当使用特定的授权器配置时，可能使用户未经授权访问数据中心或网络区域。此外，权限受限的用户可以通过数据控制语言（DCL）语句提升自身权限。建议运维人员检查访问规则是否存在违规情况，并升级到已修复版本 4.0.16、4.1.8 或 5.0.3 以解决该问题。该漏洞影响以下版本的 Apache Cassandra：4.0.0 至 4.0.154.1.0 至 4.1.75.0.0 至 5.0.2此问题源于 Cassandra 网络授权器（CassandraNetworkAuthorizer）和 Cassandra CIDR 授权器（CassandraCIDRAuthorizer）中的授权错误漏洞。这些组件旨在根据用户权限限制对特定数据中心或 IP/CIDR 组的访问。然而，由于该漏洞，权限受限的用户有可能通过 DCL 语句更新自身权限，从而绕过这些访问控制。此漏洞影响：4.0.0 – 4.0.15 版本以及 4.1.0 – 4.1.7 版本中的 Cassandra 网络授权器5.0.0 – 5.0.2 版本中的 Cassandra 网络授权器和 Cassandra CIDR 授权器强烈敦促使用受影响授权器的运维人员检查其数据访问规则，查看是否因该漏洞导致潜在违规情况。为降低风险，用户应升级到以下已修复的 Apache Cassandra 版本：4.0.16、4.1.8、5.0.3。这些更新修复了该漏洞并恢复了正常的授权控制。该问题由斯特凡・米克洛索维奇（Stefan Miklosovic）报告，已由 Apache Cassandra 开发团队处理。如需更多详细信息，可访问 Apache Cassandra 官方网站或查阅cve.org上的 CVE 记录。这一发现凸显了定期进行安全审计和及时更新的重要性，以确保像 Apache Cassandra 这样的分布式数据库系统在生产环境中的完整性。