ソースコードのセキュリティを重視し、国内外の最新情報を収集！
編集者: コードガード
Apache Superset は、影響を受けるシステム上で攻撃者がリモートでコードを実行できる可能性がある 2 つの脆弱性を修正します。
Apache Superset アップデート バージョン 2.1.1 では、2 つの脆弱性 CVE-2023-39265 および CVE-2023-37941 が修正されます。悪意のある攻撃者がスーパーセット メタデータ データベースの制御を取得すると、これら 2 つの脆弱性を悪用して悪意のある操作を実行する可能性があります。
これら 2 つの脆弱性に加えて、Superset の最新バージョンでは、REST API の不適切なアクセス許可の問題 CVE-2023-36388 も修正されており、これにより、権限の低いユーザーがサーバー側のリクエスト フォージェリ攻撃を実行できる可能性があります。Horizon3.ai の研究者である Naveen Sunkavally 氏は、技術的な詳細の中で、「スーパーセットは、特権ユーザーが強力な SQLLab インターフェイスを使用して任意のデータベースに接続し、それらのデータベース上で任意の SQL リクエストを実行できるように設計されています。スーパーセットがだまされて接続できるのであれば」と述べています。攻撃者は、独自のメタデータ データベースに対して、SQLLab を介してアプリケーション構成を直接読み書きすることができ、それによって資格情報を取得し、コードをリモートで実行することができます。」
CVE-2023-39265 は、メタデータ ストレージに使用される SQLite データベースに接続する際の URI のバイパスに関連しており、攻撃者がデータ操作コマンドを実行できるようになります。CVE の脆弱性には、ファイルからインポートされた SQLite データベース接続情報の検証不足も含まれており、これを悪用して、悪意を持って作成された ZIP 圧縮ファイルをインポートする可能性があります。Sunkavally 氏は、「スーパーセット バージョン 1.5 から 2.1.0 は、特定の構成データを保存するために Python の pickle パッケージを使用します。メタデータ データベースへの書き込みアクセス権を持つ攻撃者は、任意の pickle ペイロードをストレージに挿入し、逆シリアル化を引き起こし、リモートでコードが実行される結果を招く可能性があります。」と述べています。 」
Superset の新しいバージョンでは、次の欠陥も修正されています。
MySQL の任意のファイル読み取りの脆弱性を悪用して、メタデータ データベースの認証情報を取得する可能性があります。
superset load_examples コマンドを悪用して、ユーザー インターフェイスからメタデータ データベース URI を取得し、そこに格納されているデータを変更します。
一部のスーパーセット プログラムでは、デフォルトの資格情報を使用してメタデータ データベースにアクセスします。
特権ユーザーとして /api/v1/database API をクエリすると、データベースの認証情報がクリア テキストで漏洩します (CVE-2023-30776、バージョン 2.1.0 で修正されました)。
4 か月以上前、Apache は製品に重大度の高い脆弱性 CVE-2023-27524 (CVSS スコア 8.9) を公表しました。この脆弱性により、権限のない攻撃者がサーバーの管理者権限を取得し、任意のコードを実行できる可能性があります。この問題は、デフォルトの SECRET_KEY の使用が原因で発生します。これにより、攻撃者は、インターネット上に公開されているインストーラーの無許可のリソースを認証し、アクセスすることができます。
Horizon3.ai は、2023 年 4 月の公開以来、3842 のスーパーセット サーバーのうち 2076 台が依然として SECRET_KEY を使用しており、そのうち 72 のインスタンスが、スーパーセット、SUPERSET_SECRET_KEY、1234567890、admin、changeme、thisisasecretkey、your_secret_key_here などの非常に推測しやすい SECRET_KEY を使用していると述べました。 。
Sunkavally 氏は、「ユーザーは Flask SECRET_KEY を設定する必要があります。これにより、一部のユーザーが弱いキーを設定することになりました。」したがって、メンテナーに自動キー生成機能のサポートを追加するよう促しました。「多くの脆弱性の根本原因は、Superset Web インターフェイスが許可していることです。」ユーザーはメタデータ データベースに接続できます。」
Code Guard トライアル アドレス: https://codesafe.qianxin.com
オープンソース ガードのトライアル アドレス: https://oss.qianxin.com
推奨読書
Apache Ivy インジェクションの脆弱性により、攻撃者は機密データを抽出できます
パッチが適用されていない Apache Tomcat サーバーが Mirai ボットネット マルウェアを拡散
Apache Jackrabbit には深刻な RCE 脆弱性が存在します
Apache Superset セッション検証の脆弱性により、攻撃者が未承認のリソースにアクセスできる可能性があります
元のリンク
https://thehackernews.com/2023/09/alert-apache-superset-vulnerabilities.html
タイトル画像: Pexels ライセンス
この記事は Qi Anxin によって編集されたものであり、Qi Anxin の見解を表すものではありません。「Qi Anxin Code Guard https://codesafe.qianxin.com から転載」と明記してください。
Qi'anxin コードセーフ (コードセーフ)
国内初のソフトウェア開発セキュリティに特化した製品群。
良いと感じたら、「見る」または「いいね」をクリックしてください〜