67% सार्वजनिक Apache Superset सर्व्हर सेटअप उदाहरणातील ऍक्सेस की वापरतात

Horizon3 मधील संशोधकांनी Apache Superset डेटा विश्लेषण आणि व्हिज्युअलायझेशन प्लॅटफॉर्मच्या बहुतेक स्थापनेमध्ये सुरक्षा समस्या लक्षात घेतल्या आहेत. 2124 पैकी 3176 वर Apache Superset सार्वजनिक सर्व्हरचा अभ्यास केला, नमुना कॉन्फिगरेशन फाइलमध्ये डीफॉल्टनुसार निर्दिष्ट केलेल्या जेनेरिक एन्क्रिप्शन कीचा वापर आढळला. ही की फ्लास्क पायथन लायब्ररीमध्ये सेशन कुकीज व्युत्पन्न करण्यासाठी वापरली जाते, ज्यामुळे काल्पनिक सेशन पॅरामीटर्स व्युत्पन्न करण्याची की माहीत असलेल्या आक्रमणकर्त्याला, Apache Superset वेब इंटरफेसशी कनेक्ट करण्याची आणि बाउंड डेटाबेसमधून डेटा लोड करण्याची किंवा Apache Superset अधिकारांसह कोडची अंमलबजावणी आयोजित करण्याची परवानगी मिळते. .

विशेष म्हणजे, संशोधकांनी सुरुवातीला 2021 मध्ये विकासकांना समस्या कळवली, त्यानंतर, जानेवारी 1.4.1 मध्ये तयार झालेल्या Apache Superset 2022 च्या रिलीझमध्ये, SECRET_KEY पॅरामीटरचे मूल्य "CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET" या स्ट्रिंगने बदलले गेले, एक चेक होता. कोडमध्ये जोडले, जर हे मूल्य लॉगला चेतावणी देत ​​असेल.

या वर्षाच्या फेब्रुवारीमध्ये, संशोधकांनी असुरक्षित प्रणाली पुन्हा स्कॅन करण्याचा निर्णय घेतला आणि असे आढळले की काही लोक चेतावणीकडे लक्ष देतात आणि 67% Apache Superset सर्व्हर अजूनही कॉन्फिगरेशन उदाहरणे, उपयोजन टेम्पलेट्स किंवा दस्तऐवजीकरणातील की वापरणे सुरू ठेवतात. त्याच वेळी, डिफॉल्ट की वापरणाऱ्या संस्थांमध्ये काही मोठ्या कंपन्या, विद्यापीठे आणि सरकारी संस्था होत्या.

नमुना कॉन्फिगरेशनमध्ये कार्यरत की निर्दिष्ट करणे आता एक असुरक्षा (CVE-2023-27524) म्हणून समजली जाते, जी निर्दिष्ट की वापरताना प्लॅटफॉर्म लॉन्च करण्यास अवरोधित करणार्‍या त्रुटीच्या आउटपुटद्वारे Apache Superset 2.1 च्या रिलीजमध्ये निश्चित केली जाते. उदाहरणामध्ये (फक्त वर्तमान आवृत्तीच्या कॉन्फिगरेशन उदाहरणामध्ये निर्दिष्ट केलेली की विचारात घेतली जाते, जुन्या प्रकारच्या की आणि टेम्पलेट्स आणि दस्तऐवजीकरणातील की अवरोधित केल्या जात नाहीत). नेटवर्कवरील असुरक्षा तपासण्यासाठी एक विशेष स्क्रिप्ट प्रस्तावित करण्यात आली आहे.

स्त्रोत: opennet.ru