Les mainteneurs de la Sur-ensemble Apache<\/a> Les logiciels de visualisation de donn\u00e9es open source ont publi\u00e9 des correctifs pour brancher une configuration par d\u00e9faut non s\u00e9curis\u00e9e qui pourrait conduire \u00e0 l’ex\u00e9cution de code \u00e0 distance.<\/p>\n La vuln\u00e9rabilit\u00e9, suivie comme CVE-2023-27524<\/strong><\/a> (score CVSS\u00a0: 8,9), a un impact sur les versions jusqu’\u00e0 2.0.1 incluses et concerne l’utilisation d’une cl\u00e9 SECRET_KEY par d\u00e9faut qui pourrait \u00eatre utilis\u00e9e abusivement par des attaquants pour authentifier et acc\u00e9der \u00e0 des ressources non autoris\u00e9es sur des installations expos\u00e9es \u00e0 Internet.<\/p>\n Naveen Sunkavally, l’architecte en chef d’Horizon3.ai, a d\u00e9crit le probl\u00e8me comme “une configuration par d\u00e9faut dangereuse dans Apache Superset qui permet \u00e0 un attaquant non authentifi\u00e9 d’obtenir l’ex\u00e9cution de code \u00e0 distance, de collecter des informations d’identification et de compromettre des donn\u00e9es”.<\/p>\n Il convient de noter que la faille n’affecte pas les instances de Superset qui ont modifi\u00e9 la valeur par d\u00e9faut de la configuration SECRET_KEY en une cha\u00eene al\u00e9atoire plus s\u00e9curis\u00e9e sur le plan cryptographique.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9, qui a constat\u00e9 que la SECRET_KEY est d\u00e9finie par d\u00e9faut sur la valeur “x02x01thisismyscretkeyx01x02\\e\\y\\y\\h” au moment de l’installation, a d\u00e9clar\u00e9 que 918 des 1 288 serveurs accessibles au public utilisaient la configuration par d\u00e9faut en octobre 2021.<\/p>\n Un attaquant ayant connaissance de la cl\u00e9 secr\u00e8te pourrait alors se connecter \u00e0 ces serveurs en tant qu’administrateur en falsifiant un cookie de session et prendre le contr\u00f4le des syst\u00e8mes.<\/p>\n Le 11 janvier 2022, les mainteneurs du projet tent\u00e9<\/a> pour r\u00e9soudre le probl\u00e8me en faisant pivoter la valeur SECRET_KEY sur “CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET” dans le code Python avec mode d’emploi<\/a> pour le remplacer.<\/p>\n Horizon3.ai a d\u00e9clar\u00e9 avoir en outre trouv\u00e9 deux configurations SECRET_KEY suppl\u00e9mentaires auxquelles ont \u00e9t\u00e9 attribu\u00e9es les valeurs par d\u00e9faut “USE_YOUR_OWN_SECURE_RANDOM_KEY<\/a>” et “ceciESTSECRET_1234<\/a>.”<\/p>\n Une recherche approfondie men\u00e9e en f\u00e9vrier 2023 avec ces quatre cl\u00e9s a mis au jour 3 176 instances, dont 2 124 utilisaient l’une des cl\u00e9s par d\u00e9faut. Certaines des personnes concern\u00e9es comprennent les grandes entreprises, les petites entreprises, les agences gouvernementales et les universit\u00e9s.<\/p>\n Suite \u00e0 une deuxi\u00e8me divulgation responsable \u00e0 l’\u00e9quipe de s\u00e9curit\u00e9 d’Apache, une nouvelle mise \u00e0 jour (version 2.1<\/a>) a \u00e9t\u00e9 publi\u00e9 le 5 avril 2023 pour combler la faille de s\u00e9curit\u00e9 en emp\u00eachant compl\u00e8tement le d\u00e9marrage du serveur s’il est configur\u00e9 avec la SECRET_KEY par d\u00e9faut.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n “Ce correctif n’est pas infaillible, car il est toujours possible d’ex\u00e9cuter Superset avec une SECRET_KEY par d\u00e9faut s’il est install\u00e9 via un fichier docker-compose ou un mod\u00e8le helm”, a d\u00e9clar\u00e9 Sunkavally. a dit<\/a>.<\/p>\n “Le fichier docker-compose contient un nouveau SECRET_KEY par d\u00e9faut de TEST_NON_DEV_SECRET avec lequel nous soup\u00e7onnons que certains utilisateurs ex\u00e9cuteront involontairement Superset. Certaines configurations d\u00e9finissent \u00e9galement admin\/admin comme identifiant par d\u00e9faut pour l’utilisateur administrateur.”<\/p>\n![\"Vuln\u00e9rabilit\u00e9](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1682549675_352_Vulnerabilite-Apache-Superset-une-configuration-par-defaut-non-securisee-expose.png\" "\\"Vuln\u00e9rabilit\u00e9")
<\/div>\n