Apache Superset 默认示例数据库权限提升漏洞(CVE-2023-40610)

CVE编号

CVE-2023-40610

利用情况

暂无

补丁情况

N/A

披露时间

2023-11-27

漏洞描述

Apache Superset 是一个开源的数据可视化和业务智能平台，可用于数据探索分析和数据可视化。 受影响版本中，默认情况下示例数据库表是在 Superset 的元数据数据库上创建，导致用户可以通过 SQLLab 访问 Superset 的元数据数据库。有普通权限的攻击者可以构造恶意的 CTE SQL 语句修改 Superset 元数据数据库的中数据，提升攻击者权限等。如： WITH evil AS (UPDATE users SET role = 'admin' WHERE username = 'your_username') SELECT * FROM evil;

解决建议

"将组件 apache-superset 升级至 2.1.2 及以上版本"

参考链接
http://www.openwall.com/lists/oss-security/2023/11/27/2
https://lists.apache.org/thread/jvgxpk4dbxyqtsgtl4pdgbd520rc0rot

CVSS3评分 6.3

• 攻击路径 网络
• 攻击复杂度 高
• 权限要求 低
• 影响范围 已更改
• 用户交互 无
• 可用性 无
• 保密性 无
• 完整性 高

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:N/I:H/A:N

CWE-ID	漏洞类型
CWE-863	授权机制不正确

Exp相关链接

- avd.aliyun.com