67% avalikest Apache Superset serveritest kasutavad näidis sätteid võtmekohta

Horizon3 uuringud on tuvastanud turvaprobleeme enamikus Apache Superset andmeanalüüsi ja visualiseerimise platvormide seadistustes. 2124 3176st uuritud avalikust Apache Superset serverist leiti, et kasutatakse vaikimisi soovitatud krüptovõtit, mis on määratud konfiguratsioonifaili näidisversioonis. Seda võtit kasutatakse Python’i Flask raamatukogus seansivahendite küpsiste genereerimiseks, mis võimaldab ründajal, kellel on võtmeosa, luua vale seansiparameetreid, ühenduda Apache Superseti veebiliidesega ja laadida andmeid seotud andmebaasidest või korraldada koodi täitmise Apache Superseti õigustes.

On huvitav, et esialgu teatasid teadlased probleemist arendajatele juba 2021. aastal, mille järel muudeti Apache Superset 1.4.1 väljaandes, mis ilmus 2022. aasta jaanuaris, parameetri SECRET_KEY väärtuseks string "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET", koodi lisati kontroll, mis genereerib selle väärtuse olemasolul logisse hoiatuse.

Selle aasta veebruaris otsustasid teadlased skaneerida haavatavaid süsteeme uuesti ja märkasid, et hoiatustele ei pöörata suurt tähelepanu, ning 67% ... serverid Apache Supersetis jätkatakse endiselt konfiguratsiooni, juurutamise mallide või dokumentatsiooni näidiste võtmete kasutamist. Samuti on organisatsioonide seas, kes kasutavad vaikimisi võtmeid, mõned suured ettevõtted, ülikoolid ja riigiasutused.

Töövõtme näitamine konfiguratsiooninäidises on nüüd tõlgendatud kui haavatavus (CVE-2023-27524), mis on kõrvaldatud Apache Superset 2.1 väljaandes, kus veateade blokeerib platvormi käivitamise, kui kasutatakse näidises määratud võtit (arvesse võetakse ainult aktuaalse versiooni konfiguratsiooninäidises määratud võti, vanad vaikimisi võtmed ja mallidest või dokumentatsioonist saadud võtmed ei ole blokeeritud). Haavatavuse üle kontrollimise jaoks on pakutud spetsiaalne skript.

Allikas: opennet.ru