Apache Superset, interaktif bir veri görselleştirme ve iş zekası platformudur. Ancak, Superset’te yeni keşfedilen bir zafiyet, kötü niyetli bir saldırganın uzaktan kod yürütmesine izin verebiliyor. Bu zafiyet, CVE-2023-27524 olarak sınıflandırıldı.
Bu zafiyet, Superset’in kullanıcı tarafından oluşturulmuş bir panel içindeki arama işlevinde meydana geliyor. Arama işlevi, kullanıcının veri kaynağını sorgulamasına ve sonuçları görselleştirmesine olanak tanıyor. Ancak, bu işlevin bazı parametreleri doğru bir şekilde doğrulanmadığı için, saldırganlar, arama sorgusuna zararlı bir kod enjekte ederek, sistemde istenmeyen bir kod yürütme eylemi gerçekleştirebiliyor.
Bu zafiyet, saldırganların uzaktan bir saldırı başlatmasına izin veriyor ve saldırganların hedef sisteme erişimi olan bir kullanıcı hesabı olmadan bile bu saldırıyı gerçekleştirmelerini sağlıyor. Saldırganlar, bu zafiyeti çalmak için hedef sisteme erişebilecekleri bir web tarayıcısı kullanarak zararlı bir sorgu gönderiyorlar. Sorgu, hedef sisteme erişimi olan birçok önemli dosyayı etkileyebilir ve hatta hedef sistemi ele geçirme veya hassas verileri çalma gibi ciddi sonuçlara yol açabilir.
Apache, bu zafiyeti kapatmak için bir yama yayınladı ve kullanıcıların bu yamayı hızlı bir şekilde uygulamaları önerdi. Ayrıca, Superset’in kullanımda olduğu tüm sistemlerin, güncellemeleri yapılana kadar kullanılmaması gerektiğini hatırlatmakta fayda var.
Kaynak: borncity.com