Apache Superset’da SQL Injection zaifligi uchun ommaviy PoC e’lon qilindi!

Apache Superset ma’lumotlarni tahlil qilish, vizualizatsiya qilish va interaktiv boshqaruv panellarini (dashboard) yaratish uchun keng qo‘llaniladigan ochiq kodli platformada CVE-2026-23980 raqamli SQL Injection zaifligi aniqlandi. Mazkur zaiflikdan foydalanish uchun foydalanuvchi tizimda autentifikatsiyadan o‘tgan bo‘lishi va kamida o‘qish darajasidagi ruxsatlarga ega bo‘lishi kerak.

Zaiflik uchun ommaviy Proof-of-Concept (PoC) namunasi paydo bo‘lgani esa himoya choralarini kuchaytirish va tizimlarni yangilash zaruratini yanada oshirmoqda.

Zaiflik nimada?

CVE-2026-23980 — foydalanuvchi tomonidan taqdim etiladigan ma’lumotlarning SQL so‘rovlariga yetarli darajada xavfsiz qayta ishlanmasligi bilan bog‘liq zaiflik bo‘lib, u CWE-89 — SQL Injection toifasiga kiradi.

Apache Superset’ning ayrim funksiyalarida sqlExpression va where parametrlari orqali uzatiladigan ma’lumotlar tegishli tarzda zararsizlantirilmagani sababli, autentifikatsiyadan o‘tgan va o‘qish huquqiga ega foydalanuvchi maxsus shakllantirilgan ma’lumotlarni yuborishi mumkin. Natijada ma’lumotlar bazasi tomonidan qaytariladigan xatoliklar orqali SQL so‘rovi va ma’lumotlar bazasi haqidagi ayrim texnik ma’lumotlarni aniqlash imkoniyati yuzaga keladi.

Bunday zaifliklar error-based SQL Injection deb ataladigan usul bilan bog‘liq. Ushbu yondashuvda hujumchi ma’lumotlar bazasi xatoliklaridan foydalanib, so‘rovlarning qanday shakllantirilgani va ma’lumotlar bazasi tuzilmasi haqida qo‘shimcha ma’lumot olishga urinishi mumkin.

Qaysi versiyalar xavf ostida?

Apache’ning rasmiy xavfsizlik ma’lumotlariga ko‘ra, 6.0.0 dan oldingi Apache Superset versiyalari CVE-2026-23980 zaifligidan ta’sirlangan. Zaiflik Apache Superset 6.0.0 versiyasida bartaraf etilgan.

GitHub Advisory Database ham ushbu zaiflikning ta’sir doirasini 6.0.0 dan oldingi versiyalar sifatida ko‘rsatadi va foydalanuvchilarga 6.0.0 yoki undan keyingi tuzatilgan versiyaga yangilanishni tavsiya qiladi.

Shu sababli tashkilotlar o‘z infratuzilmasida ishlayotgan Superset nusxalarini inventarizatsiyadan o‘tkazib, ularning aniq versiyalarini tekshirishi lozim.

Ommaviy PoC xavfni qanday o‘zgartiradi?

Zaiflikning o‘zi aniqlanganidan tashqari, uning ishlash mexanizmini namoyish etuvchi PoC kodi ommaga taqdim etilgani ham muhim jihat hisoblanadi.

Ochiq manbalarda CVE-2026-23980 uchun texnik namuna mavjudligi qayd etilgan. Bunday materiallarning ommaga chiqishi xavfsizlik mutaxassislariga zaif tizimlarni nazorat ostidagi muhitda tekshirish imkonini bersa-da, shu bilan birga himoyasiz tizimlarni aniqlashga urinayotgan tajovuzkorlar uchun ham texnik to‘siqlarni kamaytirishi mumkin.

Shu nuqtai nazardan, PoC e’lon qilingandan keyin zaif tizimlarni yangilashni kechiktirmaslik, ayniqsa internet orqali foydalanish mumkin bo‘lgan Superset o‘rnatmalarini alohida nazoratga olish muhim.

Nima uchun Apache Superset’dagi ushbu zaiflik muhim?

Apache Superset oddiy veb-ilova bo‘lib qolmay, turli ma’lumotlar bazalariga ulanadigan ma’lumotlarni tahlil qilish va vizualizatsiya platformasi sifatida ishlatiladi. Tashkilotlar undan biznes ko‘rsatkichlari, hisobotlar, ma’lumotlar to‘plamlari va boshqa ichki axborotlarni tahlil qilishda foydalanishi mumkin.

Shuning uchun Superset’dagi SQL so‘rovlarini qayta ishlash bilan bog‘liq zaiflikning ta’siri faqat ilovaning o‘zi bilan cheklanib qolmasligi mumkin. Superset ulangan ma’lumotlar bazalarida maxfiy yoki xizmatga oid ma’lumotlar mavjud bo‘lsa, zaiflikdan foydalanishga qaratilgan urinishlar qo‘shimcha xavflarni yuzaga keltirishi mumkin.

Biroq ushbu zaiflikdan foydalanish uchun autentifikatsiyadan o‘tgan foydalanuvchi va tegishli o‘qish darajasidagi ruxsatlar talab etiladi. Demak, bu zaiflikni internetdagi istalgan noma’lum foydalanuvchi hech qanday autentifikatsiyasiz to‘g‘ridan-to‘g‘ri ishga tushira oladigan zaiflik sifatida baholash to‘g‘ri emas.

CVSS bahosi

GitHub Advisory Database ma’lumotlariga ko‘ra, CVE-2026-23980 uchun CVSS v4.0 bazaviy bahosi 5.3 bo‘lib, zaiflik Moderate darajasida baholangan. Unda hujum tarmoq orqali amalga oshirilishi, hujumchi esa past darajadagi imtiyozlarga ega bo‘lishi kerakligi ko‘rsatilgan.

Bu baho zaiflikni e’tiborsiz qoldirish mumkin degani emas. Ayniqsa Superset korporativ ma’lumotlar bazalariga ulangan va ko‘plab foydalanuvchilar foydalanadigan muhitlarda ruxsatlar noto‘g‘ri sozlangan bo‘lsa, xavf darajasi amaliy muhitga qarab oshishi mumkin.

Tashkilotlar nimalarga e’tibor qaratishi kerak?

Apache Superset’dan foydalanayotgan tashkilotlarga quyidagi choralarni ko‘rish tavsiya etiladi:

  • Superset versiyasini aniqlash va 6.0.0 dan oldingi versiyalar ishlatilayotganini tekshirish;
  • mavjud bo‘lsa, tizimni Apache Superset 6.0.0 yoki undan keyingi xavfsiz versiyaga yangilash;
  • Superset’ga ega barcha server va konteynerlarni inventarizatsiyadan o‘tkazish;
  • foydalanuvchilarning rol va ruxsatlarini qayta ko‘rib chiqish, ayniqsa faqat zarur bo‘lgan o‘qish huquqlarini qoldirish;
  • Superset ulangan ma’lumotlar bazalaridagi hisoblar uchun ortiqcha imtiyozlarni cheklash;
  • ilova, reverse proxy, WAF va boshqa himoya vositalari jurnallarini tekshirish;
  • sqlExpression va where kabi parametrlar bilan bog‘liq noodatiy so‘rovlarni aniqlash;
  • takroriy ma’lumotlar bazasi xatoliklari, g‘ayrioddiy SQL sintaksisi yoki odatdagidan farqli so‘rovlarni yuborayotgan past imtiyozli hisoblarni tekshirish;
  • PoC’ni faqat ruxsat berilgan test yoki laboratoriya muhitida qo‘llash.

Loglarni tekshirish ham muhim

Zaiflikdan foydalanishga urinishlarni aniqlashda faqat versiyani tekshirish bilan cheklanib qolmaslik kerak. Tashkilotning SIEM, WAF, reverse proxy va Superset ilova jurnallarida g‘ayrioddiy faollik mavjudligi o‘rganilishi lozim.

Xususan, autentifikatsiyadan o‘tgan, biroq odatda bunday so‘rovlarni yubormaydigan foydalanuvchi hisoblaridan kelayotgan noodatiy parametrlar, ketma-ket SQL xatoliklari yoki bir xil manbadan takroriy muvaffaqiyatsiz so‘rovlar qo‘shimcha tekshiruvni talab qiladi.

Agar shubhali faollik aniqlansa, tegishli hisobning kirish huquqlarini vaqtincha cheklash, so‘rovlar tarixini tahlil qilish, Superset ulangan ma’lumotlar bazalaridagi loglarni tekshirish hamda zarur hollarda hodisaga chora ko‘rish jarayonini boshlash maqsadga muvofiq.

CVE-2026-23980 Apache Superset’ning SQL so‘rovlarini qayta ishlash mexanizmi bilan bog‘liq bo‘lgan va autentifikatsiyadan o‘tgan, o‘qish huquqiga ega foydalanuvchiga error-based SQL Injection imkonini berishi mumkin bo‘lgan zaiflikdir. Apache ushbu muammoni Superset 6.0.0 versiyasida bartaraf etgan.

Zaiflik uchun ommaviy PoC materiallarining mavjudligi esa tashkilotlar uchun amaliy choralarni kechiktirmaslik kerakligini ko‘rsatadi. Ayniqsa Superset orqali ishlab chiqarish ma’lumotlar bazalari, moliyaviy ma’lumotlar, ichki hisobotlar yoki boshqa maxfiy axborotlarga murojaat qilinadigan muhitlarda versiyalarni muntazam nazorat qilish, foydalanuvchi huquqlarini cheklash, loglarni tahlil qilish va xavfsizlik yangilanishlarini o‘z vaqtida o‘rnatish muhim hisoblanadi.

Axborot va kiberxavfsizlikka mas’ul rahbarlar hamda texnik mutaxassislar diqqatiga! Apache Superset ishlatilayotgan barcha tizimlarni qayta ko‘rib chiqing, o‘rnatilgan versiyalarni tekshiring va zaif versiyalar aniqlangan taqdirda ularni imkon qadar tezroq xavfsiz versiyaga yangilang.