CVE-2024-39887
Təsvir
Apache Superset-də SQL əmrlərində istifadə olunan xüsusi elementlərin düzgün neytrallaşdırılmaması səbəbindən SQL Injection zəifliyi mövcuddur. Xüsusilə, müəyyən mühərrikə məxsus funksiyaların yoxlanılmaması hücumçulara Apache Superset-in SQL avtorizasiyasından yan keçməyə imkan verir. Bunu aradan qaldırmaq üçün DISALLOWED_SQL_FUNCTIONS adlı yeni konfiqurasiya açarı təqdim edilmişdir. Bu açar aşağıdakı PostgreSQL funksiyalarının istifadəsini qadağan edir: version, query_to_xml, inet_server_addr və inet_client_addr. Daha yüksək mühafizə üçün bu siyahıya əlavə funksiyalar əlavə edilə bilər. Bu problem Apache Superset-in 4.0.2 versiyasından əvvəlki versiyalarına təsir edir. İstifadəçilərə problemi həll edən 4.0.2 versiyasına yeniləməkləri tövsiyə olunur.
Necə düzəltmək olar
- apache superset4.0.2 və ya daha yeni versiya
- apache-superset4.0.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache superset | v < 4.0.2 | 4.0.2 |
| apache-supersetPyPI | v < 4.0.2 | 4.0.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.