Vulnerabilidad en las variables de entorno "REDASH_COOKIE_SECRET" o "REDASH_SECRET_KEY" en Redash (CVE-2021-41192)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

24/11/2021

Última modificación:

29/03/2022

Descripción

Redash es un paquete para visualizar y compartir datos. Si un administrador configura las versiones 10.0.0 y anteriores de Redash sin especificar explícitamente las variables de entorno "REDASH_COOKIE_SECRET" o "REDASH_SECRET_KEY", es usado un valor por defecto para ambas que es el mismo en todas las instalaciones. En estos casos, la instancia es vulnerable a que los atacantes puedan falsificar sesiones usando el valor por defecto conocido. Este problema sólo afecta a las instalaciones en las que las variables de entorno "REDASH_COOKIE_SECRET o REDASH_SECRET_KEY" no se han establecido explícitamente. Este problema no afecta a usuarios de las imágenes oficiales de Redash en la nube, los droplets del mercado de Digital Ocean de Redash o los scripts del repositorio "getredash/setup". Estas instancias generan automáticamente claves secretas únicas durante la instalación. Uno puede verificar si su instancia está afectada comprobando el valor de la variable de entorno "REDASH_COOKIE_SECRET". Si es "c292a0a3aa32397cdb050e233733900f", deben seguir los pasos para asegurar la instancia, indicados en el aviso de seguridad de GitHub

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:S/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 3.50 BAJA
Vector: AV:N/AC:M/Au:S/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno