CVE-2023-27524

Yüksek CISA KEV: Aktif İstismar

Teknik Veri (Otomatik)

CVSS Skoru: 8.9
EPSS: 97.4%
CWE: CWE-1188
KEV Durumu: Evet

Yayım tarihi: 24 Nisan 2023 · CISA KEV son iyileştirme tarihi: 29 Ocak 2024

Etkilenen: apache superset

Apache Superset'in 2.0.1 ve önceki sürümlerinde Oturum Doğrulama saldırıları gerçekleşebilir. Varsayılan olarak yapılandırılmış SECRET_KEY değerini kurulum talimatlarına uygun olarak değiştirmemiş kurulumlar, bir saldırganın kimlik doğrulaması yapmasına ve yetkisiz kaynaklara erişmesine izin verir. Bu, SECRET_KEY yapılandırması için varsayılan değeri değiştirmiş olan Superset yöneticilerini etkilemez. Tüm Superset kurulumlarının her zaman benzersiz ve güvenli bir SECRET_KEY ayarlaması gerekir. SECRET_KEY, tüm oturum çerezlerini güvenli bir şekilde imzalamak ve veritabanındaki duyarlı bilgileri şifrelemek için kullanılır. `superset_config.py` dosyanıza güçlü bir SECRET_KEY ekleyebilirsiniz: SECRET_KEY = <KENDİ_RASTGELE_ÜRETTİĞİNİZ_GİZLİ_ANAHTARINIZ> Alternatif olarak, `SUPERSET_SECRET_KEY` ortam değişkenini ayarlayarak bunu yapabilirsiniz.

Orijinal açıklama (İngilizce)

Session Validation attacks in Apache Superset versions up to and including 2.0.1. Installations that have not altered the default configured SECRET_KEY according to installation instructions allow for an attacker to authenticate and access unauthorized resources. This does not affect Superset administrators who have changed the default value for SECRET_KEY config. All superset installations should always set a unique secure random SECRET_KEY. Your SECRET_KEY is used to securely sign all session cookies and encrypting sensitive information on the database. Add a strong SECRET_KEY to your `superset_config.py` file like: SECRET_KEY = <YOUR_OWN_RANDOM_GENERATED_SECRET_KEY> Alternatively you can set it with `SUPERSET_SECRET_KEY` environment variable.

Referanslar

NVD kaydı ↗CVE.org ↗CISA KEV kataloğu ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.