h1n4mx0z/research-cve-2023-27524CVE-2023-27524
La compétition Asean Student Information Security (Sinh viên An toàn Thông tin) s’est temporairement achevée, l’équipe MSEC_HUNT3R a remporté la deuxième place du tableau Jeopardy. Je suis à la fois content et triste car le web cette année n’a pas répondu à mes attentes, mais bon, au moins j’ai un CVE à analyser :v
CVE-2023-27524 a été découvert dans Apache Superset avec un score CVSS de 8,9 en 2021, mais ce n’est qu’en 2023 que le CVE a été publié. Il s’agit d’un outil open source d’exploration et de visualisation de données. Affecté des versions 1.4.1 à 2.0.1, le problème survient lorsque l’administrateur exécute Apache avec la configuration par défaut, rendant ces serveurs comme une maison sans porte, car tout le monde en possède la clé. Cela permet à un attaquant de se « connecter » avec les droits d’administrateur et de pouvoir carrément dormir sur le lit de votre femme sans que personne ne le remarque :)) Dans cet article, j’analyserai en profondeur la configuration par défaut de ce paramètre. Cette analyse est basée sur cet article.
Superset est écrit avec la bibliothèque Flask de Python et utilise SECRET_KEY pour authentifier les utilisateurs. C’est une méthode courante pour les applications basées sur Flask que d’utiliser des cookies de session signés cryptographiquement pour gérer l’état utilisateur. Lorsque l’utilisateur se connecte, l’application web envoie un cookie de session contenant l’identifiant utilisateur au navigateur de l’utilisateur final. Ensuite, l’application web le signe avec le SECRET_KEY, une valeur générée aléatoirement et stockée dans le fichier de configuration local. À chaque requête, le navigateur envoie le cookie de la session en cours à l’application web, et celle-ci authentifie l’utilisateur en fonction de la signature présente dans le cookie avant d’exécuter la requête.
