Forscher von Horizon3 haben Sicherheitsprobleme in den meisten Installationen der Datenanalyse- und Visualisierungsplattform Apache Superset festgestellt. Auf 2124 von 3176 untersuchten öffentlichen Servern mit Apache Superset wurde die Verwendung eines typischen, standardmäßig im Beispielkonfigurationsdatei angegebenen Verschlüsselungsschlüssels festgestellt. Dieser Schlüssel wird in der Python-Bibliothek Flask zur Erstellung von Sitzungscookies verwendet, was es einem Angreifer, der den Schlüssel kennt, ermöglicht, gefälschte Sitzungsparameter zu erstellen, sich mit der Weboberfläche von Apache Superset zu verbinden und Daten aus den verknüpften Datenbanken abzurufen oder Code mit den Rechten von Apache Superset auszuführen.
Interessanterweise informierten die Forscher die Entwickler bereits 2021 über das Problem. Daraufhin wurde in der Apache Superset-Version 1.4.1, die im Januar 2022 veröffentlicht wurde, der Wert des Parameters SECRET_KEY durch den String „CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET“ ersetzt und eine Überprüfung in den Code eingeführt, die bei Vorhandensein dieses Wertes eine Warnmeldung in das Protokoll ausgibt.
Im Februar dieses Jahres beschlossen die Forscher, das Scannen der anfälligen Systeme zu wiederholen, und stellten fest, dass die Warnungen kaum Beachtung fanden und 67% Server Apache Superset nach wie vor Schlüssel aus den Beispielkonfigurationen, Bereitstellungsvorlagen oder der Dokumentation verwenden. Darunter sind auch einige große Unternehmen, Universitäten und staatliche Institutionen, die Standardwerte verwenden.
Die Angabe eines funktionierenden Schlüssels im Beispielkonfiguration wird nun als Schwachstelle (CVE-2023-27524) angesehen, die in der Version 2.1 von Apache Superset behoben wurde. Dabei tritt ein Fehler auf, der den Start der Plattform blockiert, wenn der im Beispiel angegebene Schlüssel verwendet wird (es wird nur der in der Beispielkonfiguration der aktuellen Version angegebene Schlüssel berücksichtigt, alte Standardwerte sowie Schlüssel aus Vorlagen und Dokumentationen werden nicht blockiert). Ein spezielles Skript wurde vorgeschlagen, um die Schwachstelle im Netzwerk zu überprüfen.
Quelle: opennet.ru
