PT-2024-9601 · Apache · Apache Superset

Daniel Gaspar + 1 · Publicado 2024-12-12 · Atualizado 2025-02-12 · CVE-2024-55633

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Apache Superset anteriores à 4.1.0

Descrição

O problema está relacionado a uma falha de autorização no Apache Superset, afetando especificamente bancos de dados analíticos Postgres. Um invasor com acesso ao SQLLab pode criar uma instrução SQL DML especialmente projetada que seja incorretamente identificada como uma consulta somente leitura, permitindo sua execução e possibilitando, potencialmente, o acesso de gravação não autorizado. Conexões a bancos de dados analíticos que não sejam Postgres e conexões a bancos de dados analíticos Postgres configuradas com um usuário somente leitura não estão vulneráveis.

Recomendações

Para resolver o problema, recomenda-se que os usuários atualizem para a versão 4.1.0, que corrige a falha. Como solução alternativa temporária, considere restringir o acesso ao SQLLab ou configurar conexões a bancos de dados analíticos Postgres com um usuário somente leitura para minimizar o risco de exploração.

Correção

Incorrect Authorization

Improper Authorization

Enumeração de Fraquezas

CWE-863

CWE-285

Identificadores relacionados

BDU:2024-11311

BIT-SUPERSET-2024-55633

CVE-2024-55633

GHSA-787V-V9VQ-4RGV

Produtos afetados

Apache Superset

Referências · 15

• https://github.com/apache/superset · Nota
• https://twitter.com/CVEnew/status/1867286501698285646 · Publicação no Twitter
• https://twitter.com/fridaysecurity/status/1867396066880180560 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-11311 · Nota de Segurança
• https://t.me/cvedetector/12794 · Publicação no Telegram
• https://t.me/pentestingnews/54230 · Publicação no Telegram
• https://twitter.com/the_yellow_fall/status/1867396931418485007 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-55633 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-787v-v9vq-4rgv · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-superset-2024-55633 · Aviso do Fabricante
• https://lists.apache.org/thread/bwmd17fcvljt9q4cgctp4v09zh3qs7fb · Aviso do Fabricante
• https://twitter.com/oss_security/status/1867249306333512165 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-55633 · Nota de Segurança
• https://t.me/cvenotify/111019 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2024/12/12/1 · Nota