به گفته محققان امنیتی، به دلیل وجود آسیب‌پذیری به شناسه CVE-2023-37924 در پلتفرم Apache Submarine، هکرها قادر هستند که حمله تزریق کد در پایگاه داده (SQLI) را بر روی نسخه‌های آسیب‌پذیر این محصول اجرا کنند. این پلتفرم در بین متخصصان علوم داده، جهت نظارت بر اجرای فرآیندهایی مانند استخراج اطلاعات در چرخه عمر(Lifecycle) یک پروژه یادگیری ماشین(ML)، محبوبیت وکاربرد فراوانی دارد. با همین دلیل، آسیب‌پذیری Apache Submarine به هدفی جذاب برای هکرها جهت سرقت و دسترسی به اطلاعات و مکانیزم‌های به کار رفته در پروژه‌های یادگیری ماشین تبدیل شده است. در حقیقت، هکرها از طریق اجرای حمله SQLI قادرند فرایند احرازهویت و ورود را دور زده و به صورت احرازهویت نشده به اطلاعات موجود در پایگاه داده این پلتفرم دسترسی پیدا کنند. به گفته محققان امنیتی، این آسیب‌پذیری هنگامی رخ می‌دهد که مهاجم در زمان ارسال درخواست به mybatis framework، از دستور like استفاده می‌کند.
محصولات تحت تأثیر
به گفته تیم پشتیبانی این پلتفرم، تمام کاربرانی که از نسخه 0.7.0 و نسخه‌های قبل‌تر از آن استفاده می‌کنند در معرض این آسیب‌پذیری قرار دارند.
توصیه‌های امنیتی
به کاربران توصیه می‌شود هر چه سریعتر Apache Submarine خود را به نسخه 0.8.0 به‌روزرسانی کنند. در این نسخه، علاوه بر رفع آسیب‌پذیری مذکور، جهت اطمینان از امنیت و صحت فرآیند احراز هویت و دسترسی به محیط کاربری این پلتفرم، از ساز و کار OpenID در چهارچوب OAuth 2.0 استفاده شده است.
منابع خبر:
[1] https://issues.apache.org/jira/browse/SUBMARINE-1361
[2] https://meterpreter.org/cve-2023-37924-critical-sql-injection-vulnerability-in-apache-submarine/
[3] https://github.com/apache/submarine/pull/1037
[4]https://submarine.apache.org/zh-cn/docs/next/designDocs/wip-designs/security-implementation/
- 38