Rilasciata ieri, la versione 0.19.19 di Lemmy è un aggiornamento interamente dedicato alla sicurezza. Sei vulnerabilità corrette in un colpo solo, alcune delle quali richiedono attenzione anche da parte degli amministratori di istanza, non solo un aggiornamento del software.

La più critica, classificata con severità media e un punteggio CVSS di 6.5, riguarda la configurazione predefinita di nginx. La direttiva proxy_add_x_forwarded_for usata nel file di configurazione distribuito con Lemmy aggiunge l’IP del client all’intestazione HTTP omonima invece di sostituirla. Questo consente a chiunque di falsificare l’indirizzo IP percepito dal server, aggirando completamente i limiti di frequenza sulle chiamate alle API: registrazione di nuovi account, login, pubblicazione di post e commenti, caricamento di immagini, ricerche. In pratica, un malintenzionato può continuare a operare anche dopo aver esaurito il proprio limite, semplicemente cambiando l’IP spoofato a ogni richiesta. La correzione va applicata manualmente: chi usa Ansible la riceve in automatico durante l’aggiornamento, tutti gli altri devono modificare nginx sostituendo $proxy_add_x_forwarded_for con $remote_addr.

// affiliato ▸ Infomaniak · Hosting europeo etico e sostenibile · Scopri i servizi →

Le altre vulnerabilità

Un secondo problema, anch’esso di severità media, riguarda l’endpoint di login: restituiva codici di risposta HTTP differenti a seconda che il nome utente esistesse o meno. Un attaccante poteva così verificare sistematicamente quali account sono registrati su un’istanza, aprendo la strada ad attacchi mirati.

Le restanti quattro vulnerabilità sono corrette direttamente nel codice di Lemmy e non richiedono interventi manuali:

• gli utenti bloccati potevano modificare messaggi privati inviati prima del blocco;
• un moderatore federato con grado inferiore poteva rimuovere moderatori di grado superiore tramite la federazione;
• la funzione di messa in evidenza dei post via federazione non validava la comunità di appartenenza né registrava l’azione nel log di moderazione;
• un XSS persistente nel testo alternativo delle immagini in markdown, sfruttabile tramite il componente html5-embed di lemmy-ui.

feddit.it è già aggiornato

feddit.it, l’istanza italiana di Lemmy gestita da me e da Informapirata, è già stata portata alla versione 0.19.19. Chi usa altre istanze può verificare la versione in uso sul proprio server e sollecitare l’aggiornamento agli amministratori di riferimento. Non ci sono modifiche che rompono la compatibilità con le versioni precedenti.