Podatności Mattermost

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 nie wymagają autoryzacji zarządzania rolami przy ustawianiu flagi scheme_admin na punktach końcowych synchronizacji grupy, co pozwala użytkownikowi z uprawnieniami do linków grupowych na eskalację swoich uprawnień oraz uprawnień członków grupy do administratora zespołu lub kanału za pomocą odpowiednio skonstruowanych żądań API.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.15 nie sanitizują odpowiedzi API zdalnego klastra podczas operacji PATCH. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniem {{manage_secure_connections}} uzyskanie tokenów uwierzytelniających zdalnego klastra poprzez żądanie PATCH do punktu końcowego zdalnego klastra.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 mają lukę, która pozwala na nieprawidłowe przetwarzanie nazwy pliku otrzymanej od zdalnych serwerów. Atakujący kontrolujący zdalny serwer może wykorzystać tę lukę do zapisywania plików w dowolnych lokalizacjach na serwerze docelowym za pomocą sekwencji przejścia ścieżki w polu nazwy pliku.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 nie wymagają uprawnień na poziomie systemu przy łatanie chronionych domyślnych ról systemowych. Umożliwia to uwierzytelnionym użytkownikom z delegowanymi uprawnieniami do zarządzania użytkownikami eskalację uprawnień poprzez modyfikację uprawnień wbudowanych ról za pomocą API łatania ról.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 nie egzekwują odpowiednich uprawnień przy tworzeniu zespołów, co pozwala uwierzytelnionym użytkownikom z uprawnieniem PermissionCreateTeam, ale bez PermissionInviteUser, na modyfikację ustawień zespołu dotyczących zaproszeń.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 nie weryfikują, czy nazwa użytkownika zwrócona podczas rejestracji bota należy do konta bota. To umożliwia nieuprzywilejowanemu atakującemu przechwycenie prywatnych wiadomości wysyłanych przez wtyczki za pomocą kanałów wiadomości bezpośrednich poprzez wcześniejszą rejestrację konta użytkownika z przewidywalną nazwą użytkownika bota wtyczki.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.15 i 10.11.x do 10.11.16 nie ograniczają transmisji zdarzeń websocket 'role_updated' do członków dotkniętego zespołu lub kanału. To pozwala uwierzytelnionemu atakującemu z dostępem na poziomie gościa obserwować powiadomienia o zmianach w schemacie uprawnień dla prywatnych zespołów, do których nie należy.

W Mattermost w wersjach 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie filtrowane są puste elementy z ładunków załączników webhooków wychodzących przed przetworzeniem. Uwierzytelniony użytkownik może wysłać spreparowaną odpowiedź webhooka zawierającą pusty wpis załącznika, powodując odmowę usługi (zakończenie procesu serwera).

Mattermost w wersjach 11.6.0, 11.5.x do 11.5.3, 11.4.x do 11.4.4 oraz 10.11.x do 10.11.14 nie waliduje zakresu tokena OAuth podczas wywołania zwrotnego, co pozwala uwierzytelnionemu użytkownikowi na uzyskanie dostępu do prywatnych repozytoriów poprzez modyfikację parametru scope w adresie URL autoryzacji GitHub.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.2, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie waliduje przesunięcia IFD w nagłówku TIFF przed alokacją pamięci, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do przesyłania plików lub publikowania na spowodowanie odmowy usługi (wyczerpanie pamięci OOM) poprzez przesłanie spreparowanego pliku TIFF lub opublikowanie adresu URL go serwującego.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nieprawidłowo waliduje ramki WebSocket zakodowane w formacie msgpack przed alokacją pamięci, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na awarię procesu serwera i spowodowanie całkowitej przerwy w działaniu usługi dla wszystkich użytkowników poprzez wysłanie spreparowanej binarnej wiadomości WebSocket do publicznego punktu końcowego WebSocket.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie egzekwuje limitów rozmiaru treści żądań HTTP na punktach końcowych wtyczek, co pozwala atakującemu na spowodowanie odmowy usługi poprzez spreparowane, zbyt duże żądania HTTP.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie waliduje danych wejściowych dostarczonych przez użytkownika w procedurach obsługi żądań API, co pozwala uwierzytelnionemu atakującemu na awarię procesu wtyczki poprzez spreparowane żądanie HTTP do punktu końcowego szczegółów PR.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie archiwizuje kanału przed usunięciem trwałych powiadomień, co pozwala uwierzytelnionemu użytkownikowi na crash serwera poprzez odpowiednie timingowanie utworzenia wiadomości z trwałym powiadomieniem między usunięciem istniejących powiadomień a archiwizacją kanału.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie czyści danych członków zespołu przy zwracaniu przez API użytkownikom bez podwyższonych uprawnień. Pozwala to użytkownikowi bez uprawnień na uzyskanie danych o rolach członków zespołu poprzez wywołanie różnych endpointów API zespołu.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4 oraz 10.11.x <= 10.11.14 nie waliduje poprawnie własności plików i kontroli dostępu. Uwierzytelniony użytkownik może uzyskać dostęp i pobrać pliki należące do innych użytkowników lub zespołów poprzez spreparowane żądania API Boards z użyciem prawidłowych identyfikatorów plików.

Mattermost w wersjach 11.6.x do 11.6.0, 11.5.x do 11.5.3, 11.4.x do 11.4.4 oraz 10.11.x do 10.11.14 nie sprawdza poprawnie adresów URL integracji pod kątem path traversal. Umożliwia to złośliwemu, uwierzytelnionemu użytkownikowi wywołanie dowolnego API przy użyciu tokena autoryzacyjnego administratora systemu poprzez manipulację ścieżką w adresie URL akcji integracji.

Mattermost w wersjach 11.5.x <= 11.5.1 nie waliduje poprawnie uprawnienia run_create na poziomie zespołu podczas tworzenia przebiegu playbooka. Uwierzytelniony członek zespołu może tworzyć przebiegi w zespołach, do których nie ma uprawnień, podając inny identyfikator zespołu w żądaniu API.

Mattermost nie ogranicza wartości parametrów, które przyjmuje z żądania podczas rejestracji, co pozwala atakującemu na rejestrowanie użytkowników jako nieaktywnych. W rezultacie zablokowani są oni przed późniejszym dostępem do Mattermost, dopóki administrator systemu nie aktywuje ich kont.

Mattermost nie oczyszcza metadanych postów podczas logowania audytów, co skutkuje rejestrowaniem zawartości linków permalinks.

Mattermost nieprawidłowo weryfikuje uprawnienia użytkownika podczas aktualizacji danych administratora systemu, co pozwala menedżerowi użytkowników na modyfikację szczegółów administratora, takich jak adres e-mail, imię i nazwisko.

Mattermost nie sprawdza, czy użytkownik żądający akcji jest gościem, co pozwala gościom na przeglądanie, dołączanie, edytowanie, eksportowanie i archiwizowanie publicznych playbooków.

Mattermost nie usuwa załączników podczas usuwania wiadomości w wątku, co pozwala zwykłemu użytkownikowi na dostęp i pobranie załącznika z usuniętej wiadomości.

Mattermost nieprawidłowo waliduje plik obrazu gif, co pozwala atakującemu na wykorzystanie znacznej ilości zasobów serwera, co prowadzi do jego długotrwałej niedostępności.

Mattermost nieprawidłowo waliduje markdown, co pozwala atakującemu na zablokowanie serwera poprzez specjalnie przygotowany input markdown.

Mattermost nie unieważnia wcześniej wygenerowanych tokenów resetowania hasła, gdy tworzony jest nowy token resetujący.

Mattermost nieprawidłowo wyświetla informacje w interfejsie użytkownika, co pozwala administratorowi systemu na modyfikację stanu tablicy. Umożliwia to każdemu użytkownikowi z ważnym linkiem do udostępnienia dołączenie do tablicy z dostępem edytora, bez aktualizacji widocznych uprawnień w UI.

Mattermost nie dezaktywuje publicznych tablic po wyłączeniu opcji konfiguracyjnej 'Włącz publicznie udostępniane tablice', co skutkuje tym, że wcześniej udostępnione publiczne tablice pozostają dostępne.

Mattermost nieprawidłowo sprawdza autoryzację dla żądania POST /api/v4/teams, gdy w żądaniu przekazywane jest ID schematu nadpisania zespołu. Umożliwia to uwierzytelnionemu atakującemu, który zna ID schematu nadpisania zespołu, stworzenie nowego zespołu z tym schematem.

Mattermost nie weryfikuje członkostwa w kanale podczas łączenia tablicy z kanałem, co pozwala użytkownikowi z niskimi uprawnieniami na połączenie tablicy z prywatnym kanałem, do którego nie ma dostępu.

Mattermost nieprawidłowo weryfikuje pochodzenie połączenia websocket, co pozwala atakującemu typu MITM na dostęp do API websocketów.

Mattermost nieprawidłowo ogranicza żądania do localhost/intranet podczas interaktywnego dialogu, co może umożliwić atakującemu przeprowadzenie ograniczonego ślepego SSRF.