ASEAN情報セキュリティ学生コンテストがひとまず終了し、自分のチームMSEC_HUNT3RはJeopardy部門で準優勝を獲得しました。今年のWebは期待に届かず、嬉しいような悲しいような気持ちですが、まあ、分析できるCVEが一つあるので、それを持ってきます :v
CVE-2023-27524 は Apache Superset で発見され、CVSS スコアは 8.9 で、2021 年に発見されましたが、2023 年になってようやく CVE として公開されました。これは、データの拡張と可視化を行うオープンソースツールです。バージョン 1.4.1 から 2.0.1 に影響し、問題は管理者が Apache をデフォルト設定で実行したときに発生します。その結果、これらのサーバーは、誰もが鍵を持っているため、ドアのない家のようなものになります。そのため、攻撃者は管理者権限で「ログイン」でき、誰にも気付かれずにあなたの妻のベッドで堂々と眠ることさえできます :)) この記事では、この設定のデフォルト設定について詳しく分析します。分析は こちら に基づいています。
Superset は Python の Flask ライブラリで書かれており、ユーザーを認証するために SECRET_KEY を使用します。これは、Flaskベースのアプリケーションでは一般的な方法であり、暗号署名されたセッションCookieを使用してユーザーの状態を管理します。ユーザーがログインすると、WebアプリケーションはユーザーIDを含むセッションCookieをエンドユーザーのブラウザに送り返します。その後、Webアプリケーションは、ローカルの設定ファイルに保存されるランダムに生成された値であるSECRET_KEYでそれに署名します。リクエストがあるたびに、ブラウザは現在のセッションのCookieをWebアプリケーションに送信し、Webアプリケーションはリクエストを実行する前に、Cookie内の署名に基づいてユーザーを認証します。
