Apache Superset 服务器容易受到 RCE 攻击CVE-2023-39265 和 CVE-2023-37941

已发布新补丁来解决 Apache Superset 中最近发现的两个安全漏洞。这些漏洞被识别为CVE-2023-39265和CVE-2023-37941，可能允许攻击者通过利用 Superset 的元数据数据库在受影响的系统上执行远程代码。

CVE-2023-39265 与用于元存储的 SQLite 数据库的 URI 连接中的绕过问题相关。该漏洞使攻击者能够执行数据操作命令。此外，该 CVE 在从文件导入 SQLite 数据库连接信息时缺乏验证，从而为导入恶意制作的 ZIP 存档文件创造了潜在途径。

CVE-2023-37941 涉及从 1.5 到 2.1.0 的 Superset 版本，使用 python 的 pickle 包来存储配置数据。具有元数据数据库写入权限的攻击者可以插入任意pickle有效负载并触发其反序列化，从而导致远程代码执行。

最新的 Superset 更新还解决了其他几个漏洞，包括 MySQL 中的任意文件读取漏洞、滥用 superset load_examples 命令、使用默认凭据访问元数据数据库以及查询 /api/ 时明文数据库凭据泄露v1/数据库 API 作为特权用户 ( CVE-2023-30776 )。

值得注意的是，此次披露是在 Superset 之前的一个高严重性缺陷 ( CVE-2023-27524 ) 的基础上发生的，该缺陷允许未经授权的攻击者获得服务器的管理员访问权限并执行任意代码。此缺陷是由于使用默认的 SECRET_KEY 造成的，攻击者可以利用它来验证和访问未经授权的资源。Horizon3.ai发现大量 Superset 服务器仍然使用默认或弱 SECRET_KEY 值。

为了解决这些漏洞，Superset 用户及时应用最新补丁并确保他们使用强大且唯一的 SECRET_KEY 值至关重要。此外，敦促 Superset 维护者考虑添加对自动生成安全 SECRET_KEY 值的支持，并审查授予连接到元数据数据库的用户的权限。