PT-2020-13800 · Apache · Apache Superset
CVE-2020-13952
·
Publicado
2020-09-30
·
Atualizado
2025-02-05
CVSS v4.0
8.6
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do Apache Superset anteriores à 0.37.2
Descrição
A vulnerabilidade permite que usuários autenticados que executam consultas nos mecanismos de banco de dados Hive e Presto acessem informações confidenciais, incluindo o conteúdo do banco de dados de metadados de descrição de consultas, senhas de usuário com hash e informações de conexão, como senhas em texto simples. Além disso, ela permite que os usuários executem métodos arbitrários no objeto de conexão do banco de dados, contornando os controles de segurança internos.
Recomendações
Para versões anteriores à 0.37.2, atualize para a versão 0.37.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso aos campos de modelo e limitar a capacidade de executar métodos arbitrários no objeto de conexão com o banco de dados até que um patch seja aplicado. Restrinja o acesso a informações confidenciais, como metadados de descrição de consulta e detalhes de conexão, para minimizar o risco de exploração.
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Superset