Ohne Nutzerinteraktion: Schwachstelle ermöglicht Übernahme fremder Mastodon-Konten
Bei dem dezentralen Microblogging-Dienst Mastodon ist offenbar eine kritische Schwachstelle entdeckt worden, welche die Übernahme beliebiger Nutzerkonten aus der Ferne ermöglicht. Aufgrund einer unzureichenden Ursprungsvalidierung könne sich ein Angreifer als ein anderer Nutzer ausgeben und dessen Mastodon-Account übernehmen, heißt es in einem Sicherheitshinweis auf Github(öffnet im neuen Fenster) .
Anfällig ist demnach jede Mastodon-Version vor 3.5.17 sowie alle 4.0.x-Versionen vor 4.0.13, alle 4.1.x-Versionen vor 4.1.13 und alle 4.2.x-Versionen vor 4.2.5. Betreibern einer Mastodon-Instanz wird dringend empfohlen, die jüngsten Patches einzuspielen, um die Sicherheitslücke zu schließen. Auch der Sicherheitsforscher Kevin Beaumont sprach am Donnerstag auf Mastodon(öffnet im neuen Fenster) eine entsprechende Empfehlung aus.
Mit Details zu der Schwachstelle halten sich die Entwickler derweil aus Sicherheitsgründen zurück. Diese würden es böswilligen Akteuren einfach machen, einen funktionierenden Exploit zu entwickeln, heißt es auf Github. Weitere Informationen sollen daher erst am 15. Februar veröffentlicht werden, um Administratoren Zeit zu verschaffen, die Patches einzuspielen.
Keine Nutzerinteraktion erforderlich
Registriert ist die Schwachstelle als CVE-2024-23832(öffnet im neuen Fenster) , mit einem CVSS von 9,4 von 10 möglichen Punkten ist sie als kritisch bewertet. Die Angriffskomplexität scheint der Bewertung nach(öffnet im neuen Fenster) gering zu sein. Angriffe sind offenbar aus der Ferne möglich und erfordern vorab keinerlei Zugriffsrechte oder Nutzerinteraktionen.
Zuletzt schlossen die Mastodon-Entwickler im Juli 2023 zwei kritische Sicherheitslücken. Eine davon, bezeichnet als Tootroot, ermöglichte es Angreifern, durch das Absenden einer speziellen Nachricht (Toot) auf den Instanzen, die diese verarbeiteten, eine Webshell zu erzeugen und darüber einen Root-Zugriff zu erlangen. Die zweite Schwachstelle machte XSS-Attacken (Cross Site Scripting) möglich. Durch die Verbreitung speziell gestalteter Toots ließ sich damit Schadcode auf den Systemen von Mastodon-Nutzern auszuführen.