CVE-2023-27524
Təsvir
Apache Superset-in 2.0.1 daxil olmaqla daha köhnə versiyalarında Sessiyanın Doğrulanması hücumları mövcuddur. Quraşdırma təlimatlarına uyğun olaraq standart konfiqurasiya edilmiş SECRET_KEY dəyişdirilməmiş quraşdırmalar, hücumçunun autentifikasiyadan keçməsinə və icazə verilməyən resurslara girişinə şərait yaradır. Bu, SECRET_KEY konfiqurasiyasının standart dəyərini dəyişmiş Superset administratorlarına təsir etmir. Bütün Superset quraşdırmaları üçün hər zaman unikal, təhlükəsiz və təsadüfi bir SECRET_KEY təyin edilməlidir. Sizin SECRET_KEY-iniz bütün sessiya kukilərinin təhlükəsiz şəkildə imzalanması və verilənlər bazasındakı həssas məlumatların şifrələnməsi üçün istifadə olunur. `superset_config.py` faylınıza aşağıdakı kimi güclü bir SECRET_KEY əlavə edin: SECRET_KEY = <SİZİN_ÖZ_TƏSADÜFİ_YARADILMIŞ_SECRET_KEY_DƏYƏRİNİZ> Alternativ olaraq, bunu `SUPERSET_SECRET_KEY` mühit dəyişəni ilə də təyin edə bilərsiniz.
Necə düzəltmək olar
İstehsalçının tövsiyə etdiyi tədbirləri tətbiq edin. Tədbir yoxdursa, məhsuldan istifadəni dayandırın.
CISA son tarixi: 29 yan 2024- apache-superset2.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache superset | v ≤ 2.0.1 | — |
| apache-supersetPyPI | v < 2.1.0 | 2.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.