Raziskovalci iz podjetja Horizon3 so opozorili na težave z varnostjo pri večini namestitev platforme za analizo in vizualizacijo podatkov Apache Superset. Na 2124 od 3176 preučevanih javnih strežnikov z Apache Superset so odkrili uporabo privzetega ključnega šifriranja, navedenega v vzorčni konfiguracijski datoteki. Ta ključ se uporablja v Python knjižnici Flask za generiranje sejšonskih piškotkov, kar omogoča napadalcu, ki pozna ključ, oblikovanje ponarejenih sejšonskih parametrov, povezovanje z web vmesnikom Apache Superset ter nalaganje podatkov iz vezanih baz podatkov ali izvajanje kode s pravicami Apache Superset.
Zanimivo je, da so raziskovalci prvotno obvestili razvijalce o težavi že leta 2021, po čemer je bila v izdaji Apache Superset 1.4.1, ki je bila izdana januarja 2022, vrednost parametra SECRET_KEY zamenjana z nizom „CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET“, v kodo pa je bila dodana preverba, ki pri prisotnosti te vrednosti izpiše opozorilo v dnevnik.
Februarja tega leta so raziskovalci ponovno skenirali ranljive sisteme in naleteli na to, da malokdo opozorilo jemlje resno, in 67% strežnikov Apache Superset še naprej uporablja ključe iz vzorčnih konfiguracij, vzorčnih namestitev ali dokumentacije. Med organizacijami, ki uporabljajo privzete ključe, so se pojavile tudi nekatere velike družbe, univerze in državne institucije.
Navedba delujočega ključa v vzorčni konfiguraciji se zdaj obravnava kot ranljivost (CVE-2023-27524), ki je bila odpravljena v izdaji Apache Superset 2.1 z izvajanjem napake, ki preprečuje zagon platforme pri uporabi ključa, navedenega v vzorcu (upošteva se samo ključ, naveden v vzorčni konfiguraciji aktualne različice, stari privzeti ključi in ključi iz vzorcev in dokumentacije niso blokirani). Za preverjanje prisotnosti ranljivosti v omrežju je bil predlagan poseben skript.
Izvor: opennet.ru
