67% នៃម៉ាស៊ីនមេ Apache Superset សាធារណៈប្រើសោចូលប្រើពីឧទាហរណ៍ការដំឡើង

អ្នកស្រាវជ្រាវនៅ Horizon3 បានកត់សម្គាល់ពីបញ្ហាសុវត្ថិភាពនៅក្នុងការដំឡើងភាគច្រើននៃកម្មវិធីវិភាគទិន្នន័យ Apache Superset និងការមើលឃើញ។ នៅលើ 2124 ក្នុងចំណោម 3176 ម៉ាស៊ីនមេសាធារណៈ Apache Superset ដែលបានសិក្សា ការប្រើប្រាស់សោអ៊ិនគ្រីបទូទៅដែលបានបញ្ជាក់តាមលំនាំដើមនៅក្នុងឯកសារកំណត់រចនាសម្ព័ន្ធគំរូត្រូវបានរកឃើញ។ កូនសោនេះត្រូវបានប្រើនៅក្នុងបណ្ណាល័យ Flask Python ដើម្បីបង្កើតខូគីសម័យ ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារដែលស្គាល់សោបង្កើតប៉ារ៉ាម៉ែត្រសម័យប្រឌិត ភ្ជាប់ទៅចំណុចប្រទាក់បណ្ដាញ Apache Superset និងផ្ទុកទិន្នន័យពីមូលដ្ឋានទិន្នន័យដែលចងភ្ជាប់ ឬរៀបចំការប្រតិបត្តិកូដដោយប្រើសិទ្ធិ Apache Superset .

គួរឱ្យចាប់អារម្មណ៍ អ្នកស្រាវជ្រាវដំបូងបានជូនដំណឹងដល់អ្នកអភិវឌ្ឍន៍អំពីបញ្ហាត្រឡប់មកវិញនៅឆ្នាំ 2021 បន្ទាប់ពីនោះ នៅក្នុងការចេញផ្សាយ Apache Superset 1.4.1 ដែលបានបង្កើតឡើងក្នុងខែមករា ឆ្នាំ 2022 តម្លៃនៃប៉ារ៉ាម៉ែត្រ SECRET_KEY ត្រូវបានជំនួសដោយខ្សែអក្សរ "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET" ការត្រួតពិនិត្យមួយ។ ត្រូវ​បាន​បន្ថែម​ទៅ​កូដ​នេះ​ប្រសិន​បើ​តម្លៃ​នេះ​ចេញ​ការ​ព្រមាន​ទៅ​កំណត់​ហេតុ​។

នៅក្នុងខែកុម្ភៈនៃឆ្នាំនេះ អ្នកស្រាវជ្រាវបានសម្រេចចិត្តធ្វើការស្កេនឡើងវិញនូវប្រព័ន្ធដែលងាយរងគ្រោះ ហើយបានរកឃើញថាមានមនុស្សតិចណាស់ដែលយកចិត្តទុកដាក់លើការព្រមាន ហើយ 67% នៃម៉ាស៊ីនមេ Apache Superset នៅតែបន្តប្រើសោពីឧទាហរណ៍នៃការកំណត់រចនាសម្ព័ន្ធ គំរូដាក់ពង្រាយ ឬឯកសារ។ ទន្ទឹមនឹងនេះដែរ ក្រុមហ៊ុនធំៗមួយចំនួន សាកលវិទ្យាល័យ និងទីភ្នាក់ងាររដ្ឋាភិបាល ស្ថិតក្នុងចំណោមអង្គការដែលប្រើប្រាស់សោលំនាំដើម។

ការបញ្ជាក់កូនសោធ្វើការនៅក្នុងការកំណត់រចនាសម្ព័ន្ធគំរូឥឡូវនេះត្រូវបានយល់ថាជាភាពងាយរងគ្រោះ (CVE-2023-27524) ដែលត្រូវបានជួសជុលនៅក្នុងការចេញផ្សាយ Apache Superset 2.1 តាមរយៈលទ្ធផលនៃកំហុសដែលរារាំងការចាប់ផ្តើមនៃវេទិកានៅពេលប្រើសោដែលបានបញ្ជាក់។ ក្នុងឧទាហរណ៍ (មានតែសោដែលបានបញ្ជាក់នៅក្នុងឧទាហរណ៍នៃការកំណត់រចនាសម្ព័ន្ធនៃកំណែបច្ចុប្បន្នប៉ុណ្ណោះដែលត្រូវបានយកមកពិចារណា សោប្រភេទចាស់ និងសោពីគំរូ និងឯកសារមិនត្រូវបានរារាំងទេ)។ ស្គ្រីបពិសេសត្រូវបានស្នើឡើងដើម្បីពិនិត្យមើលភាពងាយរងគ្រោះនៅលើបណ្តាញ។

ប្រភព: opennet.ru