3518 подписчиков
#news Пара тысяч серверов Apache Superset уязвимы к атакам на обход аутентификации и удалённое исполнение кода. А причина проста: на них стоит дефолтный ключ Flask, и злоумышленники могут через эксплойт зайти под администратором на эти сервера.
При этом у проблемы занятная хронология. В октябре 2021-го безопасники из Horizon3 сообщили о ней Apache. Пару месяцев спустя компания добавила в логи предупреждение о том, что надо бы сменить дефолтные ключи. Год спустя Horizon3 опять связались с Apache и сообщили, что почти две трети серверов всё так же уязвимы. Безопасники начали рассылать компаниям письма с настойчивыми просьбами сменить конфиг. Ну а в этом апреле в Apache не выдержали и выпустили новую версию Superset, в которой сервер с дефолтным ключом просто не запустится. Ибо по-другому не понимают. Внимание, вопрос: сколько гневных жалоб на незапускающиеся сервера получит техподдержка?
Около минуты
27 апреля 2023