PT-2024-20199 · Apache · Apache Superset

Dor Konis · Publicado 2024-02-14 · Atualizado 2025-02-05 · CVE-2024-23952

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Superset até a 2.1.2, inclusive

Versões 3.0.0 e 3.0.1 do Apache Superset

Descrição

Um invasor autenticado pode provocar um consumo descontrolado de recursos ao enviar um arquivo ZIP malicioso para importar bancos de dados, painéis ou conjuntos de dados.

Recomendações

Para as versões do Apache Superset até e incluindo a 2.1.2, atualize para uma versão posterior à 2.1.2 para resolver o problema.

Para as versões 3.0.0 e 3.0.1 do Apache Superset, considere desativar a funcionalidade de importação de bancos de dados, painéis ou conjuntos de dados até que um patch esteja disponível.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

BIT-SUPERSET-2024-23952

CVE-2024-23952

GHSA-V7Q3-5RQM-X7M9

Produtos afetados

Apache Superset

Referências · 10

• https://twitter.com/VulmonFeeds/status/1757759466726895990 · Publicação no Twitter
• https://lists.apache.org/thread/zc58zvm4414molqn2m4d4vkrbrsxdksx · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-23952 · Nota de Segurança
• https://twitter.com/CVEnew/status/1757727655607279944 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/02/14/3 · Nota
• http://openwall.com/lists/oss-security/2024/02/14/2 · Nota
• https://osv.dev/vulnerability/BIT-superset-2024-23952 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-v7q3-5rqm-x7m9 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-23952 · Aviso do Fabricante
• https://t.me/cvenotify/98489 · Publicação no Telegram