67% מהשרתים הציבוריים של Apache Superset משתמשים במפתח הגישה מדוגמה להגדרה

חוקרים ב-Horizon3 שמו לב לבעיות אבטחה ברוב ההתקנות של פלטפורמת הניתוח וההדמיה של נתונים Apache Superset. ב-2124 מתוך 3176 שרתים ציבוריים של Apache Superset שנחקרו, זוהה השימוש במפתח ההצפנה הגנרי שצוין כברירת מחדל בקובץ התצורה לדוגמה. מפתח זה משמש בספריית ה-Flask Python ליצירת קובצי Cookie של הפעלה, מה שמאפשר לתוקף שיודע את המפתח ליצור פרמטרים פיקטיביים של הפעלה, להתחבר לממשק האינטרנט של Apache Superset ולטעון נתונים מבסיסי נתונים קשורים, או לארגן ביצוע קוד עם זכויות Apache Superset .

מעניין לציין שהחוקרים דיווחו לראשונה על הבעיה למפתחים בשנת 2021, ולאחר מכן, במהדורת Apache Superset 1.4.1, שנוצרה בינואר 2022, הוחלף הערך של הפרמטר SECRET_KEY במחרוזת "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET", בדיקה הייתה נוסף לקוד, אם זה מעריך הוצאת אזהרה ליומן.

בפברואר השנה, חוקרים החליטו לסרוק מחדש מערכות פגיעות וגילו כי מעט אנשים שמים לב לאזהרה ו-67% משרתי Apache Superset עדיין ממשיכים להשתמש במפתחות מדוגמאות תצורה, תבניות פריסה או תיעוד. במקביל, כמה חברות גדולות, אוניברסיטאות וסוכנויות ממשלתיות היו בין הארגונים המשתמשים במפתחות ברירת מחדל.

ציון מפתח עבודה בתצורה לדוגמה נתפסת כעת כחולשה (CVE-2023-27524), המתוקנת במהדורה של Apache Superset 2.1 באמצעות פלט של שגיאה החוסמת את השקת הפלטפורמה בעת שימוש במפתח שצוין בדוגמה (רק המפתח שצוין בדוגמה של התצורה של הגרסה הנוכחית נלקח בחשבון, מפתחות מסוג ישן ומפתחות מתבניות ותיעוד אינם חסומים). הוצע סקריפט מיוחד כדי לבדוק פגיעות ברשת.

מקור: OpenNet.ru