67% от публичните сървъри Apache Superset използват ключ за достъп от примерните настройки

Изследователи от компанията Horizon3 обърнаха внимание на проблемите със сигурността в повечето инсталации на платформата за анализ и визуализация на данни Apache Superset. На 2124 от 3176 проучени публични сървъра с Apache Superset беше установено използването на стандартен криптографски ключ, посочен по подразбиране в примера на конфигурационния файл. Този ключ се използва в Python-библиотеката Flask за генериране на сесионни бисквитки, което позволява на атакуващия, който познава ключа, да формулира фалшиви параметри на сесията, да се свърже с уеб интерфейса на Apache Superset и да изтегли данни от свързани БД или да организира изпълнение на код с правата на Apache Superset.

Интересно е, че изначално изследователите уведомили разработчиците за проблема още през 2021 г., след което в изданието Apache Superset 1.4.1, изготвено през януари 2022 г., стойността на параметъра SECRET_KEY беше заменена с низ "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET", в кода беше добавена проверка, която при наличие на тази стойност записва предупреждение в логовете.

През февруари тази година изследователите решиха да повторят сканирането на уязвимите системи и се сблъскаха с факта, че малцина обръщат внимание на предупреждението и 67% сървъри Apache Superset все още продължава да прилага ключове от примери за конфигурация, шаблони за разгръщане или документация. Сред организациите, които използват стандартни ключове, се оказаха няколко големи компании, университети и държавни учреждения.

Указването на работен ключ в примера за конфигурация сега се възприема като уязвимост (CVE-2023-27524), която е отстранена в изданието Apache Superset 2.1 чрез изхвърляне на грешка, блокираща стартирането на платформата при използване на посочения в примера ключ (взема се предвид само ключът, указан в примера за конфигурация на актуалната версия, стари стандартни ключове и ключове от шаблони и документация не се блокират). За проверка на наличието на уязвимост по мрежата е предложен специален скрипт.

Източник: opennet.ru