CVE-2023-39265 and CVE-2023-37941: Unauthorized SQLite Access and RCE Vulnerabilities in Apache Superset

CVE-2023-37941
Severity: Critical
CVSSv3 Score: 9.8
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2023-39265
Severity: Medium
CVSSv3 Score: 6.5
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Mô tả:

Apache Superset là một công cụ khám phá và trực quan hoá dữ liệu mã nguồn mở được viết bằng Python và dựa trên nền tảng Flask web framework. Trong tháng 4 năm nay, Apache Superset đã tung ra bản vá 2.1.0 để khắc phục lỗ hổng RCE liên quan tới giá trị mặc định của khoá SECRET_KEY.

Gần đây, hai lỗ hổng mới với độ nghiêm trọng cao lại được tìm thấy trong Apache SuperSet: CVE-2023-39265 và CVE-2023-37941, khi khai thác thành công có thể chiếm hoàn toàn quyền điều khiển server. Tuy nhiên trước hết attacker cần nắm được admin privileges vào giao diện quản trị Superset.

CVE-2023-39265: Lỗ hổng này cho phép kẻ tấn công bỏ qua các biện pháp bảo vệ hiện có để ngăn chặn các kết nối tới SQLite và giành quyền kiểm soát metadata database.

Do mặc định, Superset sử dụng SQLite làm metadata database và file SQLite này đang nằm dưới Superset web server.

Sau khi kết nối, attacker có quyền ghi đọc dữ liệu đối với cơ sở dữ liệu này.

CVE-2023-37941: Nếu kẻ tấn công có quyền ghi vào metadata database của Apache Superset, attacker sẽ lợi dụng Python pickle package lưu dữ liệu cấu hình để chèn dữ liệu tấn công thực thi mã từ xa trên máy chủ Apache Superset.

Affected versions:

CVE-2023-37941: Apache Superset versions <= 2.1.0
CVE-2023-39265: 1.5 <= Apache Superset versions <= 2.1.0

Unaffected versions:

Phiên bản mới nhất của Apache Superset đã được vá lỗi và không bị ảnh hưởng:

Version 2.1.1

Cách khắc phục:

Các system admin cần nâng cấp Apache Superset lên latest version 2.1.1 để phòng tránh các lỗ hổng trên.

Tham khảo:

https://nvd.nist.gov/vuln/detail/CVE-2023-37941
https://nvd.nist.gov/vuln/detail/CVE-2023-39265
https://www.horizon3.ai/apache-superset-part-ii-rce-credential-harvesting-and-more/