漏洞信息
# Apache Superset：使用提供的默认SECRET_KEY时存在Session验证漏洞
## 漏洞概述
Apache Superset 版本 2.0.1 及之前版本存在 Session Validation 攻击。如果安装时未根据安装说明更改默认的 `SECRET_KEY`，攻击者可以进行身份验证并访问未经授权的资源。
## 影响版本
- Apache Superset 版本 2.0.1 及之前版本
## 细节
- 如果安装时使用了默认的 `SECRET_KEY`，攻击者可以利用这个漏洞进行身份验证，并访问未经授权的资源。
- Superset 管理员如果更改了默认的 `SECRET_KEY` 配置，则不受此漏洞影响。
- 所有 Superset 安装都应设置一个唯一且安全的 `SECRET_KEY`，用于安全签署所有 session cookies 并加密数据库中的敏感信息。
## 影响
- 在 `superset_config.py` 文件中添加一个强 `SECRET_KEY`：
```python
SECRET_KEY = <YOUR_OWN_RANDOM_GENERATED_SECRET_KEY>
```
- 或者，可以通过 `SUPERSET_SECRET_KEY` 环境变量设置：
```bash
SUPERSET_SECRET_KEY=<YOUR_OWN_RANDOM_GENERATED_SECRET_KEY>
```
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Apache Superset: Session validation vulnerability when using provided default SECRET_KEY
漏洞描述信息
Session Validation attacks in Apache Superset versions up to and including 2.0.1. Installations that have not altered the default configured SECRET_KEY according to installation instructions allow for an attacker to authenticate and access unauthorized resources. This does not affect Superset administrators who have changed the default value for SECRET_KEY config.
All superset installations should always set a unique secure random SECRET_KEY. Your SECRET_KEY is used to securely sign all session cookies and encrypting sensitive information on the database.
Add a strong SECRET_KEY to your `superset_config.py` file like:
SECRET_KEY = <YOUR_OWN_RANDOM_GENERATED_SECRET_KEY>
Alternatively you can set it with `SUPERSET_SECRET_KEY` environment variable.
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L
漏洞类别
不安全的默认资源初始化
漏洞标题
Apache Superset 安全漏洞
漏洞描述信息
Apache Superset是美国阿帕奇（Apache）基金会的一个数据可视化和数据探索平台。 Apache Superset 2.0.1版本及之前版本存在安全漏洞。攻击者利用该漏洞验证和访问未经授权的资源。
CVSS信息
N/A
漏洞类别
其他