Özgür ve açık kaynaklı merkezi olmayan sosyal ağ platformu olan Mastodon, saldırganların herhangi bir uzak hesabı taklit etmesine ve devralmasına izin veren kritik bir güvenlik açığı düzeltti.
Elon Musk Twitter'ı satın aldıktan sonra platform popüler hale geldi ve şimdi 11.000 örneğe yayılmış yaklaşık 12 milyon kullanıcıya sahip.
Mastodon üzerindeki örnekler (sunucular) özerk ancak birbirine bağlıdır ("Federasyon" olarak bilinen bir sistem aracılığıyla) kendi yönergeleri ve politikaları olan, altyapı sağlayan ve sunucularının yöneticileri olarak hareket eden sahipler tarafından kontrol edilen topluluklardır.
Yeni sabit kusur CVE-2024-23832 olarak izlenir ve Mastodon'da yetersiz menşe validasyonundan kaynaklanır, bu da saldırganların kullanıcıları taklit etmesine ve hesaplarını devralmasına izin verir.
Güvenlik açığı CVSS v3.1'de 9.4 olarak derecelendirilir ve 3.5.17, 4.0.13, 4.1.13 ve 4.2.5'ten önce tüm Mastodon sürümlerini etkiler.
Kusur, tüm Mastodon Server yöneticilerinin örneklerinin kullanıcılarını korumak için mümkün olan en kısa sürede yükseltmeleri tavsiye edilen 4.2.5 itibariyle sabitlendi.
Mastodon, güvenlik açığının aktif olarak kullanılmasını önlemek için şimdilik teknik ayrıntıları saklamıştır. Ancak, 15 Şubat 2024'te CVE-2024-23832 hakkında daha fazla bilgi paylaşma sözü verdiler.
Mastodon kullanıcıları güvenlik riskini ele almak için hiçbir şey yapamazlar, ancak katıldıkları örneğin yöneticilerinin Şubat ortasına kadar güvenli bir versiyona yükseltilmesini sağlamalıdır; Aksi takdirde, hesapları kaçırmaya eğilimli olacaktır.
Neyse ki, Mastodon, kritik güncelleme hakkında belirgin bir banner aracılığıyla sunucu yöneticilerini uyarmayı seçti, bu nedenle aktif olarak korunan tüm örnekler güncellemenin farkına varmalı ve sonraki günlerde güvenli sürüme geçmelidir.
Mastodon'da hesap taklit etme ve devralma yansımaları önemli olabilir, bu da bireysel kullanıcıları, toplulukları ve platformun bütünlüğünü etkileyebilir, bu nedenle CVE-2024-23832 ciddi bir kusurdur.
Temmuz 2023'te Mastodon ekibi, CVE-2023-36460 olarak izlenen başka bir kritik hatayı sabitledi ve saldırganların hedef durumlarda web mermileri oluşturacak "toots" (tweet'lerin eşdeğeri) göndermesine izin veren 'Tootroot' olarak adlandırıldı.
Saldırganlar, Mastodon sunucularını tamamen tehlikeye atmak için bu kusurdan yararlanarak hassas kullanıcı bilgilerine, iletişim ve bitki arka planlarına erişmelerine izin verebilir.
Sıfır tıklatıcı hesap devralma saldırılarına maruz kalan 5.300'den fazla GITLAB sunucusu
GitLab, kritik sıfır tıklama hesabını kaçırmak güvenlik açığını uyarır
Kripto Dolandırıcıları için Hacker Hack Govt ve İş Hesapları
Jetbrains New TeamCity Auth Bypass Güvenlik Açığı
Google, casus yazılım satıcılarının çoğu sıfır günün arkasında olduğunu söylüyor
Kaynak: Bleeping Computer