소스코드 보안에 집중하고, 국내외 최신정보를 수집해보세요!
편집자: 코드 가드
Apache Superset은 공격자가 영향을 받는 시스템에서 원격 코드를 실행하도록 허용할 수 있는 두 가지 취약점을 수정합니다.
Apache Superset 업데이트 버전 2.1.1은 두 가지 취약점(CVE-2023-39265 및 CVE-2023-37941)을 수정합니다. 악의적인 행위자가 Superset 메타데이터 데이터베이스에 대한 제어권을 획득하면 이 두 가지 취약점을 악용하여 악의적인 작업을 수행할 수 있습니다.
이 두 가지 취약점 외에도 최신 버전의 Superset은 REST API 부적절한 권한 문제 CVE-2023-36388도 수정합니다. 이 문제로 인해 권한이 낮은 사용자가 서버 측 요청 위조 공격을 수행할 수 있습니다. Horizon3.ai의 연구원인 Naveen Sunkavally는 기술 세부 사항에서 "Superset은 권한 있는 사용자가 임의의 데이터베이스에 연결하고 강력한 SQLLab 인터페이스를 사용하여 해당 데이터베이스에 대해 임의의 SQL 요청을 수행할 수 있도록 설계되었습니다. Superset을 속여 연결하게 할 수 있는 경우 공격자는 자체 메타데이터 데이터베이스에 대해 SQLLab을 통해 직접 애플리케이션 구성을 읽거나 쓰면서 자격 증명을 수집하고 원격으로 코드를 실행할 수 있습니다."
CVE-2023-39265는 메타데이터 저장에 사용되는 SQLite 데이터베이스에 연결할 때 URI 우회와 관련되어 있으며, 이로 인해 공격자가 데이터 조작 명령을 실행할 수 있습니다. CVE 취약점에는 파일에서 가져온 SQLite 데이터베이스 연결 정보에 대한 유효성 검사가 부족하여 악의적으로 구성된 ZIP 압축 파일을 가져오는 데 악용될 수도 있습니다. Sunkavally는 "Superset 버전 1.5~2.1.0은 Python의 피클 패키지를 사용하여 특정 구성 데이터를 저장합니다. 메타데이터 데이터베이스에 대한 쓰기 권한이 있는 공격자는 임의의 피클 페이로드를 저장소에 삽입하여 역직렬화를 트리거하여 원격 코드 실행 결과를 초래할 수 있습니다. "
Superset의 새 버전은 다음과 같은 결함도 수정합니다.
MySQL 임의 파일 읽기 취약점을 악용하여 메타데이터 데이터베이스에 대한 자격 증명을 얻을 수 있습니다.
사용자 인터페이스에서 메타데이터 데이터베이스 URI를 얻고 여기에 저장된 데이터를 수정하기 위해 상위 집합 load_examples 명령을 남용합니다.
일부 Superset 프로그램의 기본 자격 증명을 사용하여 메타데이터 데이터베이스에 액세스합니다.
권한 있는 사용자로 /api/v1/database API를 쿼리하면 데이터베이스 자격 증명이 일반 텍스트로 유출됩니다(CVE-2023-30776, 버전 2.1.0에서 수정됨).
4개월여 전 Apache는 제품의 심각도가 높은 취약점 CVE-2023-27524(CVSS 점수 8.9)를 공개했습니다. 이 취약점을 통해 무단 공격자가 서버에 대한 관리자 권한을 얻고 임의 코드를 실행할 수 있습니다. 이 문제는 공격자가 인터넷에 노출된 설치 프로그램의 승인되지 않은 리소스를 인증하고 액세스할 수 있도록 허용하는 기본 SECRET_KEY 사용으로 인해 발생합니다.
Horizon3.ai는 2023년 4월에 공개된 이후 2076년 3842개의 Superset 서버가 여전히 SECRET_KEY를 사용하고 있으며 그 중 72개의 인스턴스가 superset, SUPERSET_SECRET_KEY, 1234567890, admin,changeme, thisisasecretkey 및 your_secret_key_here와 같은 매우 추측하기 쉬운 SECRET_KEY를 사용한다고 언급했습니다. .
Sunkavally는 "사용자는 Flask SECRET_KEY를 설정해야 하며 이로 인해 일부 사용자는 취약한 키를 설정하게 되었습니다."라며 관리자에게 자동 키 생성 기능에 대한 지원을 추가할 것을 촉구했습니다. "많은 취약점의 근본 원인은 Superset 웹 인터페이스가 허용하는 것입니다. 사용자는 메타데이터 데이터베이스에 연결할 수 있습니다."
Code Guard 평가판 주소: https://codesafe.qianxin.com
오픈 소스 가드 평가판 주소: https://oss.qianxin.com
추천 도서
Apache Ivy 주입 취약점으로 인해 공격자가 민감한 데이터를 추출할 수 있음
패치되지 않은 Apache Tomcat 서버가 Mirai 봇넷 악성 코드를 확산시킵니다.
Apache Jackrabbit의 심각한 RCE 취약점
Apache Superset 세션 유효성 검사 취약점으로 인해 공격자가 승인되지 않은 리소스에 액세스할 수 있음
원본 링크
https://thehackernews.com/2023/09/alert-apache-superset-vulnerabilities.html
타이틀 이미지: Pexels 라이센스
이 기사는 Qi Anxin이 편집한 것이며 Qi Anxin의 견해를 대변하지 않습니다. "Qi Anxin 코드 가드 https://codesafe.qianxin.com에서 재인쇄됨"을 표시하십시오.
Qi Anxin 코드 가드(codesafe)
소프트웨어 개발 보안에 중점을 둔 국내 최초의 제품군입니다.
좋다고 생각하시면 "찾아보기"나 "좋아요"를 눌러주세요~