Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-02828

Опубликовано: 24 апр. 2023
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Высокий

Описание

Уязвимость программного обеспечения визуализации данных Apache Superset связана с небезопасной инициализацией ресурса. Эксплуатация уязвимости может позволить нарушителю , действующему удаленно, обойти установленный контроль доступа, если SECRET_KEY установлен по умолчанию

Вендор

Apache Software Foundation

Наименование ПО

Superset

Версия ПО

до 2.1 (Superset)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://lists.apache.org/thread/n0ftx60sllf527j7g11kmt24wvof8xyk

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 99%
0.84085
Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 8.9
nvd
почти 3 года назад

Session Validation attacks in Apache Superset versions up to and including 2.0.1. Installations that have not altered the default configured SECRET_KEY according to installation instructions allow for an attacker to authenticate and access unauthorized resources. This does not affect Superset administrators who have changed the default value for SECRET_KEY config. All superset installations should always set a unique secure random SECRET_KEY. Your SECRET_KEY is used to securely sign all session cookies and encrypting sensitive information on the database. Add a strong SECRET_KEY to your `superset_config.py` file like: SECRET_KEY = <YOUR_OWN_RANDOM_GENERATED_SECRET_KEY> Alternatively you can set it with `SUPERSET_SECRET_KEY` environment variable.

CVSS3: 8.9
github
почти 3 года назад

Apache superset missing check for default SECRET_KEY

EPSS

Процентиль: 99%
0.84085
Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2