Apache Superset の脆弱性（CVE-2023-27524）

何が起きた

データ分析ツールの Apache Superset で、設定項目 SECRET_KEY（セッションの情報に署名するための秘密の値）を、インストール手順どおりに初期値から変更していない環境では、攻撃者がログインした状態を装い、本来は見られない情報にアクセスできる弱点が見つかりました。実際に悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Superset 2.0.1 以前（2.0.1 を含む）を使っていて、SECRET_KEY を初期値のまま使っている組織が影響を受けます。Apache の勧告では、SECRET_KEY を初期値から変更している環境は影響を受けないと説明されています。

何をすればいい

Apache の説明に従い、superset_config.py ファイルに、推測されにくいランダムな独自の SECRET_KEY を設定します。環境変数 SUPERSET_SECRET_KEY で設定することもできます。確認した勧告には修正版の番号が書かれていないため、修正版は不明です。公式の案内を確認し、すべての環境で SECRET_KEY が変更されているか確かめてください。

やることチェックリスト

• SECRET_KEYが初期値のままか確認する
• 独自のランダムなSECRET_KEYを設定する
• Supersetの版が2.0.1以前か確認する

用語メモ

SECRET_KEY

Superset がセッションの情報に署名したり、データベースの大事な情報を暗号化したりするのに使う秘密の値です。他人に知られると、なりすましに使われるおそれがあります。

セッション

ログインしたあと、その人がログイン中であることをサーバーが覚えておくための仕組みです。

環境変数

プログラムを動かすときに、外から設定値を渡すための仕組みです。