I ricercatori di Horizon3 anu attiratu l'attenzione à i prublemi di sicurezza in a maiò parte di l'installazione di a piattaforma di analisi è visualizazione di dati Apache Superset. In 2124 fora di 3176 servitori publichi studiati cù Apache Superset, l'usu di a chjave di criptografia standard specificata per difettu in u schedariu di cunfigurazione di esempiu hè stata rilevata. Questa chjave hè aduprata in a libreria Flask Python per generà Cookies di sessione, chì permette à un attaccante chì cunnosci a chjave per generà paràmetri di sessione fittizi, cunnette à l'interfaccia web Apache Superset è carica dati da basa di dati ligati, o urganizà l'esekzione di codice cù diritti Apache Superset. .
Curiosamente, i circadori anu inizialmente infurmatu à i sviluppatori nantu à u prublema in u 2021, dopu chì in a liberazione di Apache Superset 1.4.1, furmatu in ghjennaghju 2022, u valore di u paràmetru SECRET_KEY hè statu rimpiazzatu cù a linea "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET", un verificatu hè statu rimpiazzatu. aghjuntu à u codice, se stu valori produce un avvisu à u logu.
In u frivaru di questu annu, i circadori anu decisu di ripetiri l'scansione di i sistemi vulnerabili è sò stati affruntati cù u fattu chì pochi persone anu attentu à l'avvirtimentu è u 67% di i servitori Apache Superset cuntinueghjanu à aduprà chjavi da esempi di cunfigurazione, mudelli di implementazione o documentazione. À u listessu tempu, alcune grande cumpagnie, università è agenzie di u guvernu eranu trà l'urganisazione chì utilizanu chjavi predeterminati.
A specificazione di una chjave di travagliu in una cunfigurazione d'esempiu hè avà percepita cum'è una vulnerabilità (CVE-2023-27524), chì hè stata fissata in a liberazione di Apache Superset 2.1 per via di l'output di un errore chì impedisce a piattaforma di inizià quandu si usa a chjave specificata in l'esempiu (solu a chjave specificata in a cunfigurazione di l'esempiu di a versione attuale hè presa in contu, i vechji chjavi standard è i chjavi da mudelli è documentazioni ùn sò micca bluccati). Un script speciale hè statu prupostu per verificà a presenza di vulnerabilità nantu à a reta.
Source: opennet.ru