Discourse je u petak objavio zakrpu za CVE-2021-41163.
Otvoreni izvor
- GitHub vs GitLab: Koji je program pravi za vas?
- Najbolje Linux distribucije za početnike
- Feren OS je distribucija Linuxa koja je lijepa koliko i jednostavna za korištenje
- Kako dodati nove korisnike na vaš Linux stroj
CISA tjerao programeri da ažuriraju Discourse verzije 2.7.8 i ranije u obavijesti poslanoj u nedjelju, upozoravajući da je ranjivost daljinskog izvršavanja koda označena kao "kritična".
Pitanje bio zakrpan u petak, a programeri su to objasnili CVE-2021-41163 uključivao je "grešku valjanosti u uzvodnom aws-sdk-sns gemu" koja bi mogla "dovesti do RCE-a u Discoursu putem zlonamjerno izrađenog zahtjeva."
Razvojni programeri primijetili su da bi zaobišli problem bez ažuriranja, "zahtjevi sa stazom koja počinje /webhooks/aws mogu biti blokirani na uzvodnom proxyju."
Popularna platforma za diskusiju otvorenog koda privlači milijune korisnika svaki mjesec, što je dovelo do poruke CISA-e koja poziva na proguravanje ažuriranja.
Istraživači detaljno opisao finese problema u postovima na blogu i prijavio problem Discoursu, koji nije odgovorio na zahtjeve za komentar.
BleepingComputer proveo pretragu na Shodanu koja je otkrila da su sve instance Discourse SaaS zakrpane.
Saryu Nayyar, izvršni direktor tvrtke Gurucul za kibernetičku sigurnost, rekao je da Discourse "nastavlja stvarati vijesti nakon istraživači su otkrili ranjivost koja je napadačima omogućila pozivanje naredbi OS-a kod administratora razina."
"Od ključne je važnosti i za administratore sustava i za pojedinačne korisnike da budu u toku sa sigurnosnim informacijama od dobavljača softvera i da odmah instaliraju zakrpe. Ne možemo se osloniti na Microsoft ili druge proizvođače OS-a da će automatski slati zakrpe na naše sustave. Korisnici softvera Discourse trebali bi testirati i instalirati ovu zakrpu kao svoj najvažniji prioritet," rekao je Nayyar.
"Većina korisničkih računala nema administratorski pristup računalu. Ako je jedini administratorski pristup računalu putem mrežnog administratorskog računa, možete izvršiti koristeći administratorski pristup, hakeri imaju potencijal poslati naredbu koja može ugroziti cijeli mreža."
Izvršni direktor Haystack Solutions Doug Britton rekao je da je ranjivost opasna jer se može pokrenuti na daljinu, a da već niste autentificirani korisnik na poslužitelju žrtve.
„Bugovi razine 10 nedvojbeno su najozbiljnije ranjivosti. Diskurs je glavna komunikacijska platforma", rekao je Britton.
Sigurnost
- 8 navika iznimno sigurnih radnika na daljinu
- Kako pronaći i ukloniti špijunski softver s telefona
- Najbolje VPN usluge: Kako se uspoređuju prvih 5?
- Kako saznati jeste li uključeni u povredu podataka -- i što učiniti sljedeće