许多新手对如何利用Apache Superset远程代码执行漏洞不是很清楚。为了帮助大家解决这个问题，下面小编就详细讲解一下。需要的人可以从中学习，希望你能有所收获。
00-1010 2020年9月19日，360CERT监测发现，Apache邮件群发布超集代码执行漏洞风险通知，漏洞号为CVE-2020-13948，漏洞等级为高风险，漏洞评分为7.2。
经过身份验证的远程攻击者可以通过发送特制的请求数据包来影响远程代码的执行。
在这方面，360CERT建议用户及时将超集升级到最新版本。同时请做好资产自检和防范工作，避免被黑客攻击。
00-1010360CERT对此漏洞的评估结果如下
评估方法，威胁等级，高风险影响面有限，360CERT评分7.2
0x01 漏洞简述
0x02 风险等级
Apache Superset是Airbnb开发的一款用于数据勘探和数据可视化的开源软件，可以处理大量数据。通过点击操作可以快速创建数据报表/数据大屏。
Apache Superset中存在一个逻辑漏洞，当其模板引擎处理特殊内容时，允许访问python os包，从而导致任意代码执行。
经过身份验证的远程攻击者可以通过发送特制的请求数据包来影响远程代码的执行。
0x03 漏洞详情
-Apache : superset : 0 . 37 . 0
CVE-2020-13948: 代码执行漏洞
0x04 影响版本
升级到Apache超集0.37.1
00-1010360安全脑震荡网络空间映射系统通过对整个网络的资产进行映射，发现Apache超集分布如下图所示。
搜索语法： service . response 3360 '/super set/welcome '
00-101010
0x05 修复建议
360 Secure Brain的QUAKE资产映射平台通过资产映射技术对这类漏洞进行监控。请联系相关产品区域负责人或(quake#360.cn)获取相应产品。
阅读以上内容对你有帮助吗？如果您想了解更多相关知识或阅读更多相关文章，请关注行业资讯频道，感谢您的支持。
内容来源网络，如有侵权，联系删除，本文地址：https://www.230890.com/zhan/153867.html