Ücretsiz ve açık kaynaklı merkezi olmayan sosyal ağ platformu olan Mastodon, bilgisayar korsanlarının özel hazırlanmış medya dosyalarını kullanarak sunucuda keyfi dosyalar oluşturmasına izin veren kritik olan dört güvenlik açığını yamaladı.
Mastodon, farklı ancak birbirine bağlı (federasyonlu) topluluğu desteklemek için gönüllüler tarafından ev sahipliği yapan 13.000 ayrı sunucuya (örnek) yayılmış yaklaşık 8.8 milyon kullanıcısı var.
Sabit dört sorunun hepsi, çevrimiçi hizmetler için penetrasyon testi sağlayan bir şirket olan CURE53'teki bağımsız denetçiler tarafından keşfedildi. Denetçiler Mastodon'un kodunu Mozilla'nın isteği üzerine inceledi.
Güvenlik açıklarının en şiddetli olanı CVE-2023-36460 olarak izlenir ve tootroot olarak adlandırılmıştır. Saldırganlara hedef sunuculardan ödün vermenin özellikle kolay bir yolunu verir.
CVE-2023-36460, Mastodon'un medya işleme kodunda, toots üzerindeki medya dosyalarının (tweet'lerin eşdeğeri) kullanılmasına izin veren bir sorundur (DOS) hizmet reddinden keyfi uzaktan kumanda yürütülmesine kadar bir dizi soruna neden olur.
Mastodon'un güvenlik bülteninin laconic olmasına rağmen, güvenlik araştırmacısı Kevin Beaumont, Tootroot ile ilişkili riskleri vurguladı ve Mastodon kullanıcılarına içerik veren sunuculara arka fırçalar dikmek için bir Toot'un kullanılabileceğini söyledi.
Böyle bir uzlaşma, saldırganlara sunucu üzerinde sınırsız kontrol ve barındırdığı ve yönettiği veriler üzerinde sınırsız kontrol verecek ve kullanıcıların hassas bilgilerine yayılır.
Mastodon'da kullanılan OEMBED önizleme kartlarında, hedef tarayıcıda HTML sanitizasyonunu atlamaya izin veren OEMBED önizleme kartlarında ikinci kritik şiddetli kusur CVE-2023-36459'dur.
Bu kusurdan yararlanan saldırılar, hesap kaçırma, kullanıcı kimliğine bürünme veya hassas verilere erişmek için kullanılabilir.
Mastodon'un ele aldığı diğer iki güvenlik açığı, yavaş HTTP yanıtları yoluyla yüksek şiddetli bir dos kusur olan CVE-2023-36461'dir ve CVE-2023-36462 de, bir saldırganın, bir saldırganın ayrılıcı bir şekilde doğrulanmış bir profil bağlantısını oluşturmasına izin veren yüksek şeffaflık ile derecelendirilmiştir. Kimlik avı için kullanılabilecek tarz.
Dört güvenlik açığı Mastodon'un tüm sürümlerini 3.5.0'dan itibaren etkiler ve 3.5.9, 4.0.5 ve 4.1.3 sürümlerinde yamalanmıştır.
Yamalar sunucu güvenliği güncellemeleridir ve toplulukları için riskini ortadan kaldırmak için yöneticiler tarafından uygulanması gerekir.
300.000+ Fortinet Güvenlik Duvarı Kritik Fortios RCE HATA KORUNLUK
Fortinet, kritik Fortinac uzaktan komut yürütme kusurunu düzeltir
VMware, saldırılarda sömürülen kritik vrealize kusurunu uyarıyor
VRealize Network Analytics aracındaki kritik güvenlik açıklarını düzeltir
Cisco, Yaşam Sonu VPN yönlendiricilerindeki sıfır gün RCE güvenlik açığını düzeltmeyecek
Kaynak: Bleeping Computer