h1n4mx0z/research-cve-2023-27524CVE-2023-27524
Il concorso studentesco ASEAN per la sicurezza informatica è temporaneamente concluso, il mio team MSEC_HUNT3R ha vinto il secondo premio nella categoria Jeopardy, sono allo stesso tempo felice e triste perché quest'anno il web non ha soddisfatto le mie aspettative, ma comunque c'è una CVE da analizzare :v
CVE-2023-27524 è stata scoperta su Apache Superset con un punteggio CVSS di 8,9 nel 2021, ma la CVE è stata pubblicata solo nel 2023. È uno strumento open source per l'esplorazione e la visualizzazione dei dati. Sono interessate le versioni dalla 1.4.1 alla 2.0.1; il problema si verifica quando l'amministratore esegue Apache con la configurazione predefinita, con il risultato che questi server sono come una casa senza porte perché tutti hanno la chiave. Ciò consente a un attaccante di "accedere" con privilegi di amministratore e di dormire tranquillamente sul letto di tua moglie senza che nessuno se ne accorga :)) In questo articolo analizzerò a fondo la configurazione predefinita di questa configurazione. L'analisi si basa su questo.
Superset è scritto con la libreria Flask di python e utilizza SECRET_KEY per autenticare gli utenti. È una pratica comune per le applicazioni basate su Flask utilizzare cookie di sessione firmati crittograficamente per gestire lo stato dell'utente. Quando un utente accede, l'applicazione web invia un cookie di sessione contenente l'identificativo dell'utente al browser dell'utente finale. Successivamente l'applicazione web lo firma con SECRET_KEY, un valore generato casualmente e memorizzato nel file di configurazione locale. Ogni volta che arriva una request, il browser invia il cookie della sessione corrente all'applicazione web, che autentica l'utente in base alla firma nel cookie prima di eseguire la request.
