Уязвимость позволяет удаленно выполнить код с помощью специально сформированного запроса.
Команда разработчиков Discourse выпустила обновление, призванное устранить уязвимость удаленного выполнения кода в платформе.
Discourse – популярный интернет-форум с открытым исходным кодом и программное обеспечение для управления списком рассылки, клиентская база которого составляет более чем 2 тыс. клиентов, включая сайт Amazon Seller Central с ежемесячной аудиторией в 30 млн пользователей.
Уязвимость ( CVE-2021-41163 ) представляет собой ошибку проверки в upstream-потоке aws-sdk-sns gem, которая может быть проэксплуатирована для удаленного выполнения кода с помощью специально сформированного запроса. Уязвимость, получившая максимальную степень опасности (CVSS 10), существует из-за отсутствия проверки в значениях subscribe_url.
Проблема была устранена в версиях Discourse 2.7.9 (стабильная) и 2.8.0.beta7. Команда Discourse не предоставила полную информацию о проблеме, однако обнаруживший уязвимость ИБ-эксперт, известный как joernchen, опубликовал некоторые подробности о ней.
Разработчикам рекомендуется как можно скорее обновиться до Discourse 2.7.9 и выше, а если это пока невозможно, применить защитные меры, в частности, блокировать запросы, содержащие путь /webhooks/aws, на уровне вышестоящих (upstream) прокси.
В нашем телеграм канале мы рассказываем о главных новостях из мира IT, актуальных угрозах и событиях, которые оказывают влияние на обороноспособность стран, бизнес глобальных корпораций и безопасность пользователей по всему миру. Узнай первым как выжить в цифровом кошмаре!