Команда Discourse выпустила срочный патч для устранения критической уязвимости

Команда разработчиков Discourse выпустила обновление, призванное устранить уязвимость удаленного выполнения кода в платформе.

Discourse – популярный интернет-форум с открытым исходным кодом и программное обеспечение для управления списком рассылки, клиентская база которого составляет более чем 2 тыс. клиентов, включая сайт Amazon Seller Central с ежемесячной аудиторией в 30 млн пользователей.

Уязвимость ( CVE-2021-41163 ) представляет собой ошибку проверки в upstream-потоке aws-sdk-sns gem, которая может быть проэксплуатирована для удаленного выполнения кода с помощью специально сформированного запроса. Уязвимость, получившая максимальную степень опасности (CVSS 10), существует из-за отсутствия проверки в значениях subscribe_url.

Проблема была устранена в версиях Discourse 2.7.9 (стабильная) и 2.8.0.beta7. Команда Discourse не предоставила полную информацию о проблеме, однако обнаруживший уязвимость ИБ-эксперт, известный как joernchen, опубликовал некоторые подробности о ней.

Разработчикам рекомендуется как можно скорее обновиться до Discourse 2.7.9 и выше, а если это пока невозможно, применить защитные меры, в частности, блокировать запросы, содержащие путь /webhooks/aws, на уровне вышестоящих (upstream) прокси.