안녕하세요,
우리는 모든 도메인의 취약점을 지속적으로 스캔하는 제3자 사이버 보안 플랫폼을 사용 중입니다. DigitalOcean에 호스팅된 제 Discourse 서버(2.9.0.beta7 버전)에서 다음 NVT 및 CVE가 감지되었습니다. 모든 CVE는 nginx와 관련이 있습니다. nginx를 업데이트하기 위해 놓친 절차가 있는지 확인해 주실 수 있을까요? 도움을 주시면 감사하겠습니다.
안녕하세요!
기본 이미지가 어떤 이유로 인해 오래된 상태가 아닌 한(가능하지 않을 것이며, 만약 오래되었다면 UI를 통한 업데이트가 차단되었을 것입니다), Discourse는 해당 nginx CVE에 취약하지 않습니다. 사용 중인 Nginx 버전은 https://github.com/discourse/discourse_docker/blob/main/image/base/install-nginx#L5 에서 확인할 수 있으며, nginx security advisories 를 보면 1.21.0 이상은 나열된 CVE에 취약하지 않습니다.
Discourse를 어떻게 설치하셨나요? 공식 설치 지침을 따르셨나요? 인스턴스 앞에 프록시가 있나요?
빠른 답변 감사합니다, Joshua.
인스턴스 앞에 프록시는 없습니다.
DigitalOcean의 1클릭 마켓플레이스를 통해 설치했습니다: Discourse | DigitalOcean Marketplace 1-Click App
인스턴스는 Ubuntu 20.04.2 LTS입니다.
따라서 1클릭 설치에 대한 지원은 제한적입니다. 이 기능은 DigitalOcean에서 제공하며, 우리는 이를 제어할 수 없습니다. DigitalOcean이 "Supported By: DigitalOcean"이라고 명시하고 있지만, 지원 URL은 DigitalOcean 직원이 없는 이곳으로 연결됩니다. 
어쨌든, 이상한 기본 이미지(base image) 상황을 배제하기 위해 먼저 시도해 볼 것은 드롭릿(Droplet)에 SSH로 접속하여 다음 명령을 실행하는 것입니다:
cd /var/discourse
git pull
sudo ./launcher rebuild app
마지막 명령은 최신 기본 이미지와 최신 Discourse 코드를 확보하도록 보장합니다. 경고, 이 명령 실행 중에는 사이트가 중단됩니다.
그 후 스캐너를 다시 실행하여 어떤 보고가 나오는지 확인해 보세요.
조슈아, 감사합니다.
말씀하신 대로 진행해서 결과를 알려드리겠습니다.
아래에 나열된 세 가지 NVT에 대한 피드백이 있을까요?
- SSL/TLS:
secure쿠키 속성 누락 httpOnly쿠키 속성 누락- TCP 타임스탬프
저는 NVT에 대해 직접적으로 잘 알지 못합니다. 그리고 구글 검색 결과도 기대에 미치지 못하는데, 예를 들어 Google Search 를 참고해 보세요. 가장 좋은 결과로는 securityspace.com 사이트의 항목들이 나오는데, 이상하게도 이 사이트 자체는 SSL/TLS를 사용하지 않고 90년대에 만든 것처럼 보입니다.
당신의 제3자 사이버 보안 플랫폼은 제목 외에 3개의 NVT에 대해 더 자세한 정보를 제공합니까?
첫 번째와 두 번째에 대해:
인스턴스가 올바르게 구성되지 않은 것으로 보이며, HTTPS로 서빙되고 있다는 사실을 인식하지 못하고 있습니다.
SiteSetting.force_https = true를 설정하면 이 문제를 해결할 수 있습니다.
세 번째에 대해:
이것은 Discourse가 실행 중인 호스트의 속성이므로 해당 호스트에서 수정해야 합니다.