Discourse-Schwachstelle CVE-2021-41163

Unterstützung Installation
1

Hallo zusammen,

mir wurde kürzlich auf diese Sicherheitslücke in Discourse aufmerksam gemacht NVD - CVE-2021-41163 (nist.gov).

Ich war neugierig, da sie sich auf der URL /webhooks/aws befindet: Ist Discourse in Azure ebenfalls von dieser Schwachstelle betroffen?

2

Jede Instanz ist betroffen (sofern nicht gepatcht), unabhängig davon, wo sie gehostet wird.

5

Hey @Falco, danke für die schnelle Antwort!

Ich bin kein Ruby-Experte, aber ich dachte, dass diese Codezeile die Ausführung des anfälligen Teils auf Azure verhindern würde, da sie als „false" ausgewertet wird?? Bitte korrigiert mich hier, da ich Ruby nicht kenne.

Außerdem, als eine reine Notlösung und NICHT EMPFOHLEN, da das Upgraden zu 100 % die beste Lösung ist: Könntest du die Nginx-Datei bearbeiten, um dies vorübergehend zu beheben, bis ein Upgrade durchgeführt wird?
So zum Beispiel:

  1. SSH-Verbindung zum Server herstellen
  2. cd /var/discourse
  3. ./launcher enter app
  4. cd /etc/nginx/conf.d/
  5. discourse.conf bearbeiten
  6. Folgendes hinzufügen:
location ~* /webhooks/aws {
    deny all;
}
  1. sv restart nginx

Ich habe die feste Absicht, bald zu upgraden. Ich brauche jedoch etwa eine Woche, um die Dinge für unsere Live-Umgebung zu organisieren, und möchte in der Zwischenzeit sicher sein.

6

Diese Zeile wird trotzdem ausgeführt, da dieser Parameter Benutzereingabe ist.

Das könnte funktionieren, ist aber, wie du selbst sagst, nur eine Notlösung. Ein Neuaufbau würde die Korrektur entfernen, und sei beim Testen sehr vorsichtig, da die Nginx-Konfiguration sehr tricky ist, wenn man sie korrekt einrichten will.

7

Basierend auf den Erkenntnissen unseres Sicherheitsteams handelt es sich dabei nicht um einen Discourse-Fehler. Der Fehler liegt in unserem SNS-Nachrichtenverteilungssystem (MDS) (hier können wir nicht näher ins Detail gehen), was bedeutet, dass jedes Paket betroffen sein wird, das den SNS-Dienst nutzt oder verwendet.

8

Ja, das Problem wird tatsächlich durch ein Problem in der aws-sdk-sns-Bibliothek verursacht. Es ist jedoch wichtig zu verstehen, dass – da Discourse diese Bibliothek nutzt und den Fehler der Öffentlichkeit zugänglich macht – jede Discourse-Instanz anfällig ist, selbst wenn sie den AWS SNS-Dienst nicht tatsächlich nutzt.

Obwohl es sich also nicht um einen „Discourse-Fehler" handelt, ist es dennoch eine „Sicherheitslücke in Discourse".

9

Ist diese Sicherheitslücke behoben? Danke.

10

Ja, aber du musst sicherstellen, dass du den Patch angewendet hast. Lies den Beitrag. :slight_smile:

11

hilft ein einfaches

Launcher-Neu-App

nicht, diese Sicherheitslücke zu beheben?

12

./launcher rebuild app wendet die neuesten Updates auf deine Discourse-Instanz an und enthält den Patch für dieses Problem :+1:

Offizielle Informationen findest du unter RCE via malicious SNS subscription payload · Advisory · discourse/discourse · GitHub

13

Klingt besser :slight_smile: