CVE-2023-27524: falla sessioni in Apache Superset

CVE-2023-27524 riguarda Apache Superset, piattaforma open source per la visualizzazione e l'analisi dei dati. La falla colpisce tutte le versioni fino alla 2.0.1 inclusa che non hanno modificato la SECRET_KEY predefinita impostata dall'installazione. Un attaccante può falsificare i cookie di sessione e autenticarsi come utente legittimo, ottenendo accesso a risorse e dati non autorizzati senza credenziali valide.

Il CVSS assegnato è 8,9, fascia high, un livello che riflette la facilità con cui un attaccante remoto può ottenere accesso non autorizzato quando la configurazione resta inalterata. NVD ha pubblicato la vulnerabilità il 24 aprile 2023. Le installazioni che hanno già cambiato la SECRET_KEY non sono esposte. Non è confermato sfruttamento attivo in natura. Un segnale GitHub del 29 ottobre 2026 descrive laboratori CTF dedicati all'analisi di vulnerabilità reali, tra cui questa CVE: indica interesse tecnico e didattico, non necessariamente sfruttamento in produzione.

Gli amministratori devono controllare con priorità il file superset_config.py e verificare che la SECRET_KEY non sia più quella generata automaticamente. Va impostata una chiave univoca, lunga e casuale, tramite il file di configurazione o la variabile SUPERSET_SECRET_KEY. Dopo la modifica, invalidare tutte le sessioni attive forzando un nuovo login e monitorare i log per anomalie precedenti alla correzione.