67% सार्वजनिक अपाचे सुपरसेट सर्वर कॉन्फ़िगरेशन उदाहरण से एक्सेस कुंजी का उपयोग करते हैं

होराइजन3 के शोधकर्ताओं ने अपाचे सुपरसेट डेटा विश्लेषण और विज़ुअलाइज़ेशन प्लेटफ़ॉर्म के अधिकांश इंस्टॉलेशन में सुरक्षा समस्याओं को देखा है। अध्ययन किए गए 2124 अपाचे सुपरसेट सार्वजनिक सर्वरों में से 3176 पर, नमूना कॉन्फ़िगरेशन फ़ाइल में डिफ़ॉल्ट रूप से निर्दिष्ट सामान्य एन्क्रिप्शन कुंजी के उपयोग का पता चला था। इस कुंजी का उपयोग फ्लास्क पायथन लाइब्रेरी में सत्र कुकीज़ उत्पन्न करने के लिए किया जाता है, जो एक हमलावर को, जो कुंजी जानता है, काल्पनिक सत्र पैरामीटर उत्पन्न करने, अपाचे सुपरसेट वेब इंटरफ़ेस से कनेक्ट करने और बाध्य डेटाबेस से डेटा लोड करने, या अपाचे सुपरसेट अधिकारों के साथ कोड निष्पादन को व्यवस्थित करने की अनुमति देता है। .

दिलचस्प बात यह है कि शोधकर्ताओं ने शुरू में 2021 में डेवलपर्स को समस्या की सूचना दी थी, जिसके बाद, जनवरी 1.4.1 में अपाचे सुपरसेट 2022 की रिलीज में, SECRET_KEY पैरामीटर का मान स्ट्रिंग "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET" से बदल दिया गया था, एक चेक था कोड में जोड़ा गया, यदि यह मान लॉग में चेतावनी आउटपुट करता है।

इस साल फरवरी में, शोधकर्ताओं ने कमजोर सिस्टम को फिर से स्कैन करने का फैसला किया और पाया कि बहुत कम लोग चेतावनी पर ध्यान देते हैं और 67% अपाचे सुपरसेट सर्वर अभी भी कॉन्फ़िगरेशन उदाहरणों, परिनियोजन टेम्पलेट्स या दस्तावेज़ीकरण से कुंजी का उपयोग करना जारी रखते हैं। वहीं, कुछ बड़ी कंपनियां, विश्वविद्यालय और सरकारी एजेंसियां ​​डिफ़ॉल्ट कुंजी का उपयोग करने वाले संगठनों में से थीं।

नमूना कॉन्फ़िगरेशन में एक कार्यशील कुंजी निर्दिष्ट करना अब एक भेद्यता (सीवीई-2023-27524) के रूप में माना जाता है, जो अपाचे सुपरसेट 2.1 की रिलीज में एक त्रुटि के आउटपुट के माध्यम से तय किया गया है जो निर्दिष्ट कुंजी का उपयोग करते समय प्लेटफ़ॉर्म के लॉन्च को अवरुद्ध करता है। उदाहरण में (केवल वर्तमान संस्करण के कॉन्फ़िगरेशन उदाहरण में निर्दिष्ट कुंजी को ध्यान में रखा जाता है, पुराने प्रकार की कुंजियाँ और टेम्प्लेट और दस्तावेज़ीकरण की कुंजियाँ अवरुद्ध नहीं होती हैं)। नेटवर्क पर भेद्यता की जाँच के लिए एक विशेष स्क्रिप्ट प्रस्तावित की गई है।

स्रोत: opennet.ru