CISA drong er bij ontwikkelaars op aan om Discourse-versies 2.7.8 en eerder bij te werken in een bericht dat zondag werd verzonden en waarschuwde dat een kwetsbaarheid voor het uitvoeren van externe code als “kritiek” was gemarkeerd.
Het probleem is op vrijdag gepatcht en ontwikkelaars legden uit dat CVE-2021-41163 “een validatiebug in de upstream aws-sdk-sns gem” betrof die “zou kunnen leiden tot RCE in Discourse via een kwaadwillig vervaardigde request.”
Ontwikkelaars merkten op dat om het probleem te omzeilen zonder bij te werken, “verzoeken met een pad dat begint met /webhooks/aws kunnen worden geblokkeerd op een upstream-proxy.”
Het populaire open source-discussieplatform trekt elke maand miljoenen gebruikers, wat het bericht van CISA oproept om updates door te voeren.
Onderzoekers hebben de finesses van het probleem gedetailleerd in blogposts en het probleem gemeld aan Discourse, dat niet reageerde op verzoeken om commentaar.
BleepingComputer voerde een zoekopdracht uit op Shodan en ontdekte dat alle Discourse SaaS-instanties zijn gepatcht.
Saryu Nayyar, CEO van cyberbeveiligingsbedrijf Gurucul, zei dat Discourse “nieuws blijft maken nadat onderzoekers een kwetsbaarheid ontdekten waardoor aanvallers OS-commando's op beheerdersniveau konden gebruiken.”
“Het is van cruciaal belang voor zowel systeembeheerders als individuele gebruikers om op de hoogte te blijven van beveiligingsinformatie van softwareleveranciers en om patches onmiddellijk te installeren. We kunnen er niet op vertrouwen dat Microsoft of andere OS-leveranciers automatisch patches naar onze Gebruikers van Discourse-software zouden deze patch als hun belangrijkste prioriteit moeten testen en installeren”, aldus Nayyar.
“De meeste gebruikerscomputers hebben geen computerbeheerderstoegang. Als de enige beheerderstoegang op een computer via het netwerkbeheerdersaccount is en u kunt uitvoeren met beheerderstoegang, hebben hackers het potentieel om een commando te sturen dat het hele netwerk kan compromitteren. “
De CEO van Haystack Solutions, Doug Britton, zei dat het beveiligingslek gevaarlijk is omdat het op afstand kan worden uitgevoerd zonder al een geverifieerde gebruiker op de slachtofferserver te zijn.
“Niveau 10-bugs zijn ongetwijfeld de meest ernstige kwetsbaarheden. Discourse is een belangrijk communicatieplatform”, zei Britton.
Beveiliging
Hackers hebben op de een of andere manier aan hun rootkit een door Microsoft uitgegeven digitale handtekening gekregen. waarschuwt dat hackers hun kwaadaardige JavaScript-code vermommen met een moeilijk te verslaan truc Microsoft Teams: uw videogesprekken hebben zojuist een grote beveiligingsboost gekregen Cybersecurity 101: bescherm uw privacy tegen hackers, spionnen, de overheid
Verwante onderwerpen:
Beveiliging voor ontwikkelaars Tv-gegevensbeheer CXO-datacenters