抓緊修補!Discourse嚴重安全漏洞可致程式碼執行錯誤

週五，開發人員通過緊急更新修復了一個嚴重的Discourse遠端程式碼執行 (RCE) 漏洞，跟蹤為，CVE-2021-41163。該漏洞的CVSS v3得分為10.0。

Discourse 是一個流行的開源論壇和郵件列表管理軟體應用程式。提供出色的可用性和整合潛力，同時重點關注於社交功能。

易受攻擊的版本是2.7.8及更早版本，解決風險的最佳方法是更新到週五釋出的2.7.9或更高版本。最新的測試版和測試版也已針對該漏洞進行了修補。

根據官方統計，僅在2021年9月，Discourse就釋出了350萬條被4.05億使用者瀏覽的帖子。

由於Discourse的廣泛使用，CISA也釋出了一個關於這個缺陷的警告，敦促論壇管理員更新到最新的可用版本或者應用必要的變通方法。

該漏洞是通過向易受攻擊的軟體傳送惡意製作的請求來觸發的，利用了“subscribe-url”值中缺乏驗證的優勢。

使用使用者提供的輸入呼叫 `open()` 允許以Web應用程式執行的任何許可權呼叫作業系統命令，通常是“www-data”(admin)。

cve - 201 -41163漏洞的影響以及利用它(傳送未經身份驗證的POST)的容易程度會導致CVSS v3得分為10.0(嚴重)，因此打補丁應被視為緊急情況。

Shodan搜尋返回了8641個Discourse部署，其中許多仍有可能暴露於RCE的開發潛力。不過，自週三以來，所有SaaS例項都已打了補丁。

任何不能更新到最新版本的人，建議在上游代理上用'/webhooks/aws'開頭的路徑阻止請求。

目前，該缺陷仍在進行技術分析，但發現它的研究人員已經發表了豐富的技術細節 。

在修復後的幾天內釋出過多的漏洞細節，只會給黑客提供如何利用漏洞的指南。

隨著網路攻擊事件愈發頻繁，安全已成為重點關注問題。尤其90%的網路安全事件與安全漏洞被利用有關，這就要求企業在做軟體開發時更要關注軟體安全問題，尤其在開發階段，使用靜態程式碼檢測工具可以及時發現程式碼缺陷及安全漏洞等易引起網路安全事故的問題，第一時間修正漏洞及缺陷不但有利於提高軟體自身安全性，也能為網路安全防禦做好重要補充工作。

建議企業除了安裝防護軟體之外，及時檢測、發現網路系統中的薄弱環節，並進行維護和修補，減小被黑客盯上的概率。同時，對於軟體開發企業，不應只關注在軟體開發的功能和效率，同時要將安全問題融入至開發週期當中，尤其經常被忽略的程式碼缺陷等問題。在 靜態程式碼安全檢測中，不但可以查詢、定位程式碼的缺陷問題，同時還能檢測出一些不需要執行即可發現的安全漏洞問題。

參讀連結：

https://www.bleepingcomputer.com/news/security/cisa-urges-admins-to-patch-critical-discourse-code-execution-bug/

https://securityaffairs.co/wordpress/123775/hacking/discourse-rce.html