CVE-2026-47846: Imagens de contêiner Bitnami Cassandra mantêm superusuário padrão ativo
Imagens de contêiner Bitnami Cassandra podem manter ativo o superusuário embutido cassandra após a configuração de um administrador personalizado via CASSANDRA_USER, criando um caminho de acesso não intencional com credenciais padrão conhecidas. A CNA classifica o problema como crítico (CVSS 3.1, nota 9.8), e há builds corrigidos indicados para as linhas 4.0, 4.1 e 5.0.
Visão geral
A CVE-2026-47846 afeta as imagens de contêiner Bitnami Cassandra. Quando o operador define um administrador personalizado pela variável de ambiente CASSANDRA_USER, o script de inicialização cria o novo superusuário, mas, em determinados cenários, não remove a conta embutida cassandra. Com isso, o superusuário padrão, cujas credenciais são amplamente conhecidas, continua ativo ao lado do administrador pretendido. A falha é classificada como CWE-798 (Uso de Credenciais Embutidas no Código). As informações vêm do aviso de segurança da Bitnami no GitHub e da entrada no NVD.
Impacto
A CNA (VMware) atribui nota base CVSS 3.1 de 9.8 (crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Quem alcançar a porta do protocolo nativo do Cassandra em um contêiner afetado pode autenticar-se como superusuário usando as credenciais padrão, obtendo controle total sobre dados e papéis: leitura, alteração ou exclusão de keyspaces, criação de contas e interrupção do serviço. O risco é maior quando a porta do banco está acessível a partir de redes não confiáveis.
Produtos e versões afetados
Segundo o registro, as seguintes imagens de contêiner Bitnami Cassandra são afetadas:
- 4.0.x anteriores a 4.0.20-photon-5-r7
- 4.1.x anteriores a 4.1.11-photon-5-r7
- 5.0.x anteriores a 5.0.8-photon-5-r4 / 5.0.8-debian-12-r3
O problema está na lógica de inicialização da imagem, não no Apache Cassandra em si. Em princípio, apenas implantações que configuram um administrador personalizado via CASSANDRA_USER, e que se enquadram nos cenários específicos descritos pelo fornecedor, são afetadas.
Status de exploração
A CVE não consta no catálogo Known Exploited Vulnerabilities da CISA, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS. Como credenciais padrão são triviais de testar, a barreira prática para abuso é baixa quando uma instância vulnerável está acessível.
Correção e mitigação
- Atualize para um build corrigido: 4.0.20-photon-5-r7 ou posterior, 4.1.11-photon-5-r7 ou posterior, ou 5.0.8-photon-5-r4 / 5.0.8-debian-12-r3 ou posterior, conforme o aviso.
- A atualização da imagem pode não remover um papel cassandra já persistido em volumes de dados existentes; revise os clusters atuais e remova ou desative o superusuário padrão se ainda estiver presente, após confirmar que o administrador personalizado funciona.
- Se for preciso manter a conta padrão temporariamente, troque a senha por um valor forte e exclusivo e revogue privilégios desnecessários.
- Restrinja o acesso de rede às portas do Cassandra apenas a hosts de aplicação confiáveis; nunca as exponha diretamente à internet.
- Rotacione credenciais e verifique a integridade dos dados em instâncias que ficaram acessíveis com a conta padrão ativa.
Orientações de detecção
- Faça o inventário de contêineres e implantações (Helm/Compose) que usam imagens Bitnami Cassandra e compare as tags com os builds corrigidos.
- Revise a lista de papéis de cada cluster em busca de um papel cassandra com privilégio de superusuário que não deveria existir.
- Audite os logs de autenticação do Cassandra (e o audit logging, se habilitado) procurando logins com o usuário cassandra, sobretudo de origens inesperadas.
- Procure criação de papéis, concessões de permissão ou alterações de esquema sem explicação.
Limitações das informações disponíveis
O status no NVD é "Awaiting Analysis", portanto ainda não há pontuação ou dados CPE independentes do NVD. O registro não detalha quais cenários exatos fazem a conta ser mantida, não traz dados EPSS ou SSVC e não lista entradas estruturadas de produtos afetados ou correções além da descrição. Não está claro se as imagens corrigidas também tratam dados persistentes já inicializados; confirme no aviso do fornecedor.
Perguntas frequentes
O que é a CVE-2026-47846?
Uma falha nas imagens de contêiner Bitnami Cassandra em que configurar um administrador personalizado via CASSANDRA_USER pode deixar ativo o superusuário embutido cassandra com credenciais padrão.
Quais imagens estão corrigidas?
O registro indica 4.0.20-photon-5-r7, 4.1.11-photon-5-r7 e 5.0.8-photon-5-r4 / 5.0.8-debian-12-r3 como os primeiros builds não afetados em cada linha.
A falha está sendo explorada?
Ela não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Atualizar a imagem é suficiente?
Não necessariamente. Clusters existentes podem manter o papel padrão nos dados persistentes; verifique a lista de papéis e remova ou desative o superusuário cassandra se ele existir.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.