67% સાર્વજનિક અપાચે સુપરસેટ સર્વર્સ સેટઅપ ઉદાહરણમાંથી એક્સેસ કીનો ઉપયોગ કરે છે

Horizon3 ના સંશોધકોએ અપાચે સુપરસેટ ડેટા વિશ્લેષણ અને વિઝ્યુલાઇઝેશન પ્લેટફોર્મના મોટાભાગના ઇન્સ્ટોલેશનમાં સુરક્ષા સમસ્યાઓ તરફ ધ્યાન દોર્યું. Apache Superset સાથે અભ્યાસ કરાયેલા 2124 જાહેર સર્વર્સમાંથી 3176 પર, ઉદાહરણ રૂપરેખાંકન ફાઇલમાં મૂળભૂત રીતે ઉલ્લેખિત પ્રમાણભૂત એન્ક્રિપ્શન કીનો ઉપયોગ શોધી કાઢવામાં આવ્યો હતો. આ કીનો ઉપયોગ ફ્લાસ્ક પાયથોન લાઇબ્રેરીમાં સત્ર કૂકીઝ જનરેટ કરવા માટે થાય છે, જે હુમલાખોરને કાલ્પનિક સત્ર પરિમાણો જનરેટ કરવા, અપાચે સુપરસેટ વેબ ઈન્ટરફેસ સાથે કનેક્ટ કરવા અને લિંક કરેલા ડેટાબેસેસમાંથી ડેટા લોડ કરવા અથવા અપાચે સુપરસેટ અધિકારો સાથે કોડ એક્ઝિક્યુશન ગોઠવવા માટે કી જાણતા હોય છે. .

રસપ્રદ વાત એ છે કે, સંશોધકોએ શરૂઆતમાં 2021 માં સમસ્યા વિશે વિકાસકર્તાઓને જાણ કરી હતી, ત્યારબાદ જાન્યુઆરી 1.4.1 માં રચાયેલ અપાચે સુપરસેટ 2022 ના પ્રકાશનમાં, SECRET_KEY પેરામીટરનું મૂલ્ય "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET હતી" લાઇનથી બદલવામાં આવ્યું હતું, કોડમાં ઉમેરવામાં આવે છે, જો આ મૂલ્ય લોગને ચેતવણી આપે છે.

આ વર્ષના ફેબ્રુઆરીમાં, સંશોધકોએ સંવેદનશીલ સિસ્ટમના સ્કેનનું પુનરાવર્તન કરવાનું નક્કી કર્યું અને એ હકીકતનો સામનો કરવો પડ્યો કે થોડા લોકોએ ચેતવણી પર ધ્યાન આપ્યું અને 67% અપાચે સુપરસેટ સર્વર્સે હજુ પણ રૂપરેખાંકન ઉદાહરણો, જમાવટ નમૂનાઓ અથવા દસ્તાવેજોમાંથી કીનો ઉપયોગ કરવાનું ચાલુ રાખ્યું. તે જ સમયે, કેટલીક મોટી કંપનીઓ, યુનિવર્સિટીઓ અને સરકારી એજન્સીઓ ડિફોલ્ટ કીનો ઉપયોગ કરતી સંસ્થાઓમાં સામેલ હતી.

ઉદાહરણ રૂપરેખાંકનમાં કાર્યકારી કીનો ઉલ્લેખ કરવો એ હવે નબળાઈ (CVE-2023-27524) તરીકે જોવામાં આવે છે, જે અપાચે સુપરસેટ 2.1 ના પ્રકાશનમાં ભૂલના આઉટપુટ દ્વારા નિશ્ચિત કરવામાં આવી હતી જે આમાં ઉલ્લેખિત કીનો ઉપયોગ કરતી વખતે પ્લેટફોર્મને પ્રારંભ થવાથી અવરોધે છે. ઉદાહરણ (માત્ર વર્તમાન સંસ્કરણના ઉદાહરણ રૂપરેખાંકનમાં ઉલ્લેખિત કી ધ્યાનમાં લેવામાં આવે છે, જૂની માનક કી અને નમૂનાઓ અને દસ્તાવેજીકરણની કીઓ અવરોધિત નથી). નેટવર્ક પર નબળાઈઓની હાજરી તપાસવા માટે એક ખાસ સ્ક્રિપ્ટનો પ્રસ્તાવ મૂકવામાં આવ્યો છે.

સોર્સ: opennet.ru