Apache · Superset
CVE-2023-27524
Apache Superset: Session validation vulnerability when using provided default SECRET_KEY
De quoi s'agit-il
Session Validation attacks in Apache Superset versions up to and including 2.0.1. Installations that have not altered the default configured SECRET_KEY according to installation instructions allow for an attacker to authenticate and access unauthorized resources. This does not affect Superset administrators who have changed the default value for SECRET_KEY config.
All superset installations should always set a unique secure random SECRET_KEY. Your SECRET_KEY is used to securely sign all session cookies and encrypting sensitive information on the database.
Add a strong SECRET_KEY to your `superset_config.py` file like:
SECRET_KEY = <YOUR_OWN_RANDOM_GENERATED_SECRET_KEY>
Alternatively you can set it with `SUPERSET_SECRET_KEY` environment variable.
CISA: Apache Superset contains an insecure default initialization of a resource vulnerability that allows an attacker to authenticate and access unauthorized resources on installations that have not altered the default configured SECRET_KEY according to installation instructions.
Que faire
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Échéance pour les agences fédérales américaines : 29 janvier 2024
- Ajoutée à la liste de la CISA
- 8 janvier 2024
- Publiée
- 24 avril 2023
- Gravité
- Élevé 8,9 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 98% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-1188
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (4)
- https://lists.apache.org/thread/n0ftx60sllf527j7g11kmt24wvof8xyk
- https://www.openwall.com/lists/oss-security/2023/04/24/2
- https://packetstormsecurity.com/files/172522/Apache-Superset-2.0.0-Authentication-Bypass.html
- https://packetstormsecurity.com/files/175094/Apache-Superset-2.0.0-Remote-Code-Execution.html
Autres failles exploitées chez Apache
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 8 oct. 2026 | Command Injection | Struts | Élevé 8,1 | 97% |
| 4 août 2026 | Missing Encryption of Sensitive Data | Tomcat | Élevé 7,5 | 99% |
| 16 avr. 2026 | Improper Input Validation | ActiveMQ | Élevé 8,8 | 98% |
| 1 mai 2025 | Improper Escaping of Output | HTTP Server | Critique 9,1 | >99,9% |
| 1 avr. 2025 | Path Equivalence | Tomcat | Critique 10,0 | 99,9% |
| 4 févr. 2025 | Forced Browsing | OFBiz | Critique 9,8 | >99,9% |
| 18 sept. 2024 | Improper Access Control | HugeGraph-Server | Critique 9,8 | 99,2% |
| 27 août 2024 | Incorrect Authorization | OFBiz | Élevé 8,1 | 99,4% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.