CISA opfordrede udviklere til at opdatere Discourse-version 2.7.8 og tidligere i en meddelelse, der blev sendt ud søndag, og advarede om, at en sårbarhed ved fjernudførelse af kode var mærket som “kritisk”.
Problemet blev rettet i fredags, og udviklere forklarede, at CVE-2021-41163 involverede “en valideringsfejl i opstrøms aws-sdk-sns-perlen”, der kunne “føre til RCE i Diskurs via en ondsindet udformet anmodning.”
Udviklere bemærkede, at for at løse problemet uden at opdatere, “kan anmodninger med en sti, der starter /webhooks/aws, blive blokeret ved en upstream-proxy.”
Den populære open source-diskussionsplatform tiltrækker millioner af brugere hver måned, hvilket får beskeden fra CISA, der opfordrer til, at opdateringer bliver skubbet igennem.
Forskere har beskrevet de finere sider af problemet i blogindlæg og rapporteret problemet til Discourse, som ikke reagerede på anmodninger om kommentarer.
BleepingComputer udførte en søgning på Shodan, der fandt, at alle Discourse SaaS-forekomster er blevet rettet.
Saryu Nayyar, administrerende direktør for cybersikkerhedsfirmaet Gurucul, sagde, at Discourse “fortsætter med at lave nyheder, efter at forskere opdagede en sårbarhed, der gjorde det muligt for angribere at påkalde OS-kommandoer på administratorniveau.”
“Det er yderst vigtigt for både systemadministratorer og individuelle brugere at holde sig ajour med sikkerhedsoplysninger fra softwareudbydere og at installere patches med det samme. Vi kan ikke stole på, at Microsoft eller andre OS-leverandører automatisk sender patches til vores systemer. Brugere af Discourse-software bør teste og installere denne patch som deres vigtigste prioritet,” sagde Nayyar.
“De fleste brugercomputere har ikke computeradminadgang. Hvis den eneste adminadgang på en computer er via netværksadministratorkontoen, hvis du kan udføre ved hjælp af adminadgang, har hackere potentiale til at sende en kommando, der kan kompromittere hele netværket. “
Haystack Solutions CEO Doug Britton sagde, at sårbarheden er farlig, fordi den kan køres eksternt uden allerede at være en godkendt bruger på offerserveren.
“Niveau 10 fejl er uden tvivl de mest alvorlige sårbarheder. Diskurs er en vigtig kommunikationsplatform,” sagde Britton.
Sikkerhed
Hackere fik på en eller anden måde deres rootkit en Microsoft-udstedt digital signatur Dette monster af en phishing-kampagne er ude efter dine adgangskoder SolarWinds hackere Nobelium til at slå globale it-forsyningskæder igen, Microsoft advarer om, at hackere skjuler deres ondsindede JavaScript-kode med et svært at slå trick Microsoft Teams: Dine videoopkald har lige fået et stort sikkerhedsløft Cybersikkerhed 101: Beskyt dit privatliv mod hackere, spioner, regeringen
Relaterede emner:
Developer Security TV data Management CXO datacentre