67% পাবলিক Apache Superset সার্ভার কনফিগারেশন উদাহরণ থেকে অ্যাক্সেস কী ব্যবহার করে

Horizon3-এর গবেষকরা Apache Superset ডেটা বিশ্লেষণ এবং ভিজ্যুয়ালাইজেশন প্ল্যাটফর্মের বেশিরভাগ ইনস্টলেশনে নিরাপত্তা সমস্যা লক্ষ্য করেছেন। অধ্যয়ন করা 2124টি Apache Superset পাবলিক সার্ভারের মধ্যে 3176টিতে, নমুনা কনফিগারেশন ফাইলে ডিফল্টরূপে নির্দিষ্ট করা জেনেরিক এনক্রিপশন কী-এর ব্যবহার সনাক্ত করা হয়েছে। এই কীটি সেশন কুকিজ তৈরি করতে ফ্লাস্ক পাইথন লাইব্রেরিতে ব্যবহার করা হয়, যা একজন আক্রমণকারীকে কাল্পনিক সেশন প্যারামিটার তৈরি করতে, অ্যাপাচি সুপারসেট ওয়েব ইন্টারফেসের সাথে সংযোগ করতে এবং আবদ্ধ ডাটাবেস থেকে ডেটা লোড করতে, বা অ্যাপাচি সুপারসেট অধিকারের সাথে কোড নির্বাহের ব্যবস্থা করতে দেয়। .

মজার বিষয় হল, গবেষকরা প্রাথমিকভাবে 2021 সালে ডেভেলপারদের সমস্যার কথা জানিয়েছিলেন, তারপরে, জানুয়ারী 1.4.1 সালে গঠিত Apache Superset 2022 প্রকাশের সময়, SECRET_KEY প্যারামিটারের মান "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET" স্ট্রিং দিয়ে প্রতিস্থাপিত হয়েছিল। কোডে যোগ করা হয়েছিল, যদি এটি লগে একটি সতর্কবার্তা আউটপুট করে।

এই বছরের ফেব্রুয়ারিতে, গবেষকরা দুর্বল সিস্টেমগুলি পুনরায় স্ক্যান করার সিদ্ধান্ত নিয়েছিলেন এবং দেখেছেন যে খুব কম লোকই সতর্কতার দিকে মনোযোগ দেয় এবং 67% অ্যাপাচি সুপারসেট সার্ভার এখনও কনফিগারেশন উদাহরণ, স্থাপনার টেমপ্লেট বা ডকুমেন্টেশন থেকে কীগুলি ব্যবহার করে চলেছে৷ একই সময়ে, কিছু বড় কোম্পানি, বিশ্ববিদ্যালয় এবং সরকারী সংস্থাগুলি ডিফল্ট কী ব্যবহার করে এমন সংস্থাগুলির মধ্যে ছিল।

নমুনা কনফিগারেশনে একটি কার্যকরী কী উল্লেখ করা এখন একটি দুর্বলতা (CVE-2023-27524) হিসাবে বিবেচিত হয়, যা Apache Superset 2.1-এর রিলিজে একটি ত্রুটির আউটপুটের মাধ্যমে সংশোধন করা হয় যা নির্দিষ্ট কী ব্যবহার করার সময় প্ল্যাটফর্মের লঞ্চকে ব্লক করে। উদাহরণে (শুধুমাত্র বর্তমান সংস্করণের কনফিগারেশন উদাহরণে নির্দিষ্ট কীটি বিবেচনায় নেওয়া হয়েছে, টেমপ্লেট এবং ডকুমেন্টেশন থেকে পুরানো টাইপ কী এবং কীগুলি ব্লক করা হয়নি)। নেটওয়ার্কে একটি দুর্বলতা পরীক্ষা করার জন্য একটি বিশেষ স্ক্রিপ্ট প্রস্তাব করা হয়েছে৷

উত্স: opennet.ru