{"id":108092,"date":"2023-04-26T12:48:13","date_gmt":"2023-04-26T10:48:15","guid":{"rendered":"https:\/\/prohoster.info\/?p=108092"},"modified":"2023-04-27T10:34:34","modified_gmt":"2023-04-27T08:34:34","slug":"67-publichnyh-serverov-apache-superset-ispolzuyut-klyuch-dostupa-iz-primera-nastroek","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/67-publichnyh-serverov-apache-superset-ispolzuyut-klyuch-dostupa-iz-primera-nastroek","title":{"rendered":"67 % der \u00f6ffentlichen Server von Apache Superset verwenden einen Zugangsschl\u00fcssel aus den Beispieldaten.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forscher von Horizon3 haben Sicherheitsprobleme in der Mehrheit der Installationen der Datenanalyse- und Visualisierungsplattform Apache Superset festgestellt. Auf 2124 von 3176 untersuchten \u00f6ffentlichen Servern mit Apache Superset wurde die Verwendung eines standardm\u00e4\u00dfig im Beispielkonfigurationsfile angegebenen typischen Verschl\u00fcsselungsschl\u00fcssels festgestellt. Dieser Schl\u00fcssel wird in der Python-Bibliothek Flask zur Generierung von Sitzungscookies verwendet, was es einem mit dem Schl\u00fcssel vertrauten Angreifer erm\u00f6glicht, gef\u00e4lschte Sitzungparameter zu erstellen, sich in die Weboberfl\u00e4che von Apache Superset einzuloggen und Daten aus den verbundenen Datenbanken herunterzuladen oder Code mit den Rechten von Apache Superset auszuf\u00fchren. <\/p>\n

Interessanterweise berichteten Forscher den Entwicklern bereits im Jahr 2021 von dem Problem, woraufhin im Release von Apache Superset 1.4.1, das im Januar 2022 erstellt wurde, der Wert des Parameters SECRET_KEY durch den Text «CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET» ersetzt wurde. Im Code wurde eine \u00dcberpr\u00fcfung hinzugef\u00fcgt, die bei Vorhandensein dieses Wertes eine Warnung im Log ausgibt. <\/p>\n

Im Februar dieses Jahres beschlossen die Forscher, die Scans der verwundbaren Systeme zu wiederholen, und stellten fest, dass nur wenige auf die Warnung achteten und 67% Server<\/a> Apache Superset weiterhin die Schl\u00fcssel aus Beispielkonfigurationen, Bereitstellungsvorlagen oder Dokumentationen verwendet. Dabei sind unter den Organisationen, die Standardkeys verwenden, auch einige gro\u00dfe Unternehmen, Universit\u00e4ten und staatliche Einrichtungen.

\"67<\/center> <\/p>\n

Das Angeben eines funktionierenden Schl\u00fcssels im Beispielkonfigurationsfile wird nun als Sicherheitsanf\u00e4lligkeit (CVE-2023-27524) wahrgenommen, die im Release von Apache Superset 2.1 behoben wurde, indem ein Fehler ausgegeben wird, der den Start der Plattform bei Verwendung des im Beispiel angegebenen Schl\u00fcssels blockiert (es wird nur der Schl\u00fcssel ber\u00fccksichtigt, der im Beispiel der aktuellen Version angegeben ist; alte Standardkeys und Schl\u00fcssel aus Vorlagen und der Dokumentation werden nicht blockiert). F\u00fcr die \u00dcberpr\u00fcfung der Anf\u00e4lligkeit im Netzwerk wurde ein spezielles Skript angeboten.

\"67<\/center>
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Horizon3 \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0438 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0441 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c\u044e \u0432 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043e\u043a \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0438 \u0432\u0438\u0437\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 Apache Superset. \u041d\u0430 2124 \u0438\u0437 3176 \u0438\u0437\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0441 Apache Superset \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0442\u0438\u043f\u043e\u0432\u043e\u0433\u043e \u043a\u043b\u044e\u0447\u0430 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0444\u0430\u0439\u043b\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438. \u0414\u0430\u043d\u043d\u044b\u0439 \u043a\u043b\u044e\u0447 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 Python-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0435 Flask \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0441\u0435\u0441\u0441\u0438\u043e\u043d\u043d\u044b\u0445 Cookie, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0437\u043d\u0430\u044e\u0449\u0435\u043c\u0443 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":108093,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-108092","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd4767% der \u00f6ffentlichen Server von Apache Superset verwenden den Zugangsschl\u00fcssel aus den Beispielkonfigurationen | ProHoster","description":"Forscher von Horizon3 haben Sicherheitsprobleme in der Mehrheit der Installationen der Datenanalyse- und Visualisierungsplattform Apache Superset festgestellt. Auf 2124 von 3176 untersuchten \u00f6ffentlichen Servern mit Apache Superset wurde die Verwendung eines standardm\u00e4\u00dfig im Beispielkonfigurationsfile angegebenen typischen Verschl\u00fcsselungsschl\u00fcssels festgestellt. Dieser Schl\u00fcssel wird in der Python-Bibliothek Flask zur Generierung von Sitzungscookies verwendet, was es einem mit dem Schl\u00fcssel vertrauten Angreifer erm\u00f6glicht, gef\u00e4lschte Sitzungparameter zu erstellen, sich in die Weboberfl\u00e4che von Apache Superset einzuloggen und Daten aus den verbundenen Datenbanken herunterzuladen oder Code mit den Rechten von Apache Superset auszuf\u00fchren.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/67-publichnyh-serverov-apache-superset-ispolzuyut-klyuch-dostupa-iz-primera-nastroek","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd4767% \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 Apache Superset \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043a\u043b\u044e\u0447 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0438\u0437 \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Horizon3 \u043e\u0431\u0440\u0430\u0442\u0438\u043b\u0438 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u0441 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c\u044e \u0432 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043e\u043a \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0438 \u0432\u0438\u0437\u0443\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 Apache Superset. \u041d\u0430 2124 \u0438\u0437 3176 \u0438\u0437\u0443\u0447\u0435\u043d\u043d\u044b\u0445 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u0441 Apache Superset \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0442\u0438\u043f\u043e\u0432\u043e\u0433\u043e \u043a\u043b\u044e\u0447\u0430 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0432 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0444\u0430\u0439\u043b\u0430 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438. \u0414\u0430\u043d\u043d\u044b\u0439 \u043a\u043b\u044e\u0447 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 Python-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0435 Flask \u0434\u043b\u044f \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 \u0441\u0435\u0441\u0441\u0438\u043e\u043d\u043d\u044b\u0445 Cookie, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0437\u043d\u0430\u044e\u0449\u0435\u043c\u0443","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/67-publichnyh-serverov-apache-superset-ispolzuyut-klyuch-dostupa-iz-primera-nastroek","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-04-26T10:48:15+00:00","article:modified_time":"2023-04-27T08:34:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"108092","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-02-09 16:51:33","updated":"2026-02-09 16:51:33"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/108092","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=108092"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/108092\/revisions"}],"predecessor-version":[{"id":158951,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/108092\/revisions\/158951"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/108093"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=108092"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=108092"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=108092"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}