- Aktif istismar
- CWE-1188
CVE-2023-27524
Apache Superset'te varsayılan SECRET_KEY kullanıldığında oturum doğrulama açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1283 gün
- Kaydı açan
- apache
ÖzetTürkçe
Apache Superset'in 2.0.1 dahil ve bu sürüme kadar olan sürümlerinde oturum doğrulama saldırılarına karşı savunmasızlık bulunmaktadır. Kurulum talimatlarındaki varsayılan yapılandırılmış SECRET_KEY değerini değiştirmemiş kurulumlarda, bir saldırgan kimlik doğrulaması yapabilir ve yetkisiz kaynaklara erişebilir. Bu durum, SECRET_KEY yapılandırma değerini varsayılan olarak değiştirmiş Superset yöneticilerini etkilemez. Tüm Superset kurulumlarında her zaman benzersiz, güvenli ve rastgele bir SECRET_KEY ayarlanmalıdır. SECRET_KEY, tüm oturum çerezlerini güvenli biçimde imzalamak ve veritabanındaki hassas bilgileri şifrelemek için kullanılır. Güçlü bir SECRET_KEY, superset_config.py dosyasına SECRET_KEY = <KENDİNİZE ÖZGÜ RASTGELE ÜRETİLMİŞ SECRET_KEY> biçiminde eklenebilir. Alternatif olarak, bu değer SUPERSET_SECRET_KEY ortam değişkeni ile de ayarlanabilir.
Kaynaktaki açıklama (İngilizce)
Session Validation attacks in Apache Superset versions up to and including 2.0.1. Installations that have not altered the default configured SECRET_KEY according to installation instructions allow for an attacker to authenticate and access unauthorized resources. This does not affect Superset administrators who have changed the default value for SECRET_KEY config.
All superset installations should always set a unique secure random SECRET_KEY. Your SECRET_KEY is used to securely sign all session cookies and encrypting sensitive information on the database.
Add a strong SECRET_KEY to your superset_config.py file like:
SECRET_KEY = <YOUR_OWN_RANDOM_GENERATED_SECRET_KEY>
Alternatively you can set it with SUPERSET_SECRET_KEY environment variable.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Superset | ≤ 2.0.1 | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- lists.apache.org/thread/n0ftx60sllf527j7g11kmt24wvof8xyk Üretici bülteni
- openwall.com/lists/oss-security/2023/04/24/2 Diğer
- packetstormsecurity.com/…ache-Superset-2.0.0-Authentication-Bypass.html Diğer
- packetstormsecurity.com/…ache-Superset-2.0.0-Remote-Code-Execution.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.