Podatności Mattermost

Mattermost w wersjach 11.5.x <= 11.5.1 oraz 10.11.x <= 10.11.13 nie waliduje nagłówka Host podczas konstruowania adresów URL odpowiedzi dla niestandardowych poleceń slash. Uwierzytelniony atakujący może przekierować odpowiedzi poleceń slash na serwer kontrolowany przez atakującego za pomocą sfałszowanego nagłówka Host.

Mattermost w wersjach 11.5.x <= 11.5.1 nie weryfikuje członkostwa w kanale podczas przetwarzania przepisywania wiadomości wspomaganych przez AI. Uwierzytelniony atakujący może odczytać treść wątków w prywatnych kanałach i wiadomościach bezpośrednich, do których nie ma dostępu, poprzez spreparowane żądanie do endpointu przepisywania postów.

Mattermost w wersjach 11.5.x <= 11.5.1 oraz 10.11.x <= 10.11.13 nie sprawdza, czy {{team_id}} został zmieniony podczas aktualizacji playbooków. Użytkownicy z uprawnieniem {{Manage Playbook Configurations}} mogą zmienić zespół playbooka, omijając ograniczenia zarządzania członkami poprzez API PUT.

Wersje Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie wymuszają unikalności słowa wyzwalającego polecenia slash podczas aktualizacji poleceń. Uwierzytelniony członek zespołu z uprawnieniem Manage Own Slash Commands może przejąć i podszyć się pod istniejące systemowe lub niestandardowe polecenia slash, edytując własne słowo wyzwalające na już zarejestrowane.

Mattermost w wersjach 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie waliduje struktury archiwum 7zip przed przetworzeniem. Umożliwia to uwierzytelnionemu atakującemu wywołanie wyczerpania pamięci serwera i odmowy usługi poprzez przesłanie specjalnie spreparowanego pliku 7zip z nadmierną liczbą deklaracji folderów.

Mattermost w wersjach 11.5.x <= 11.5.1 oraz 10.11.x <= 10.11.13 nie sprawdza, czy RefreshedToken różni się od oryginalnego tokenu zaproszenia podczas potwierdzania zaproszenia do zdalnego klastra. Uwierzytelniony atakujący może obejść rotację tokenów i ponownie użyć oryginalnego tokenu zaproszenia, wysyłając spreparowane potwierdzenie zaproszenia z RefreshedToken równym oryginalnemu tokenowi.

Wersje Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie sprawdzają uprawnienia create_post dla kanału podczas edycji postów. Uwierzytelniony atakujący z odebranymi uprawnieniami do publikowania może modyfikować swoje istniejące posty poprzez bezpośrednie żądania API do endpointów aktualizacji i patchowania postów.

Mattermost w wersjach 11.5.x <= 11.5.1 oraz 10.11.x <= 10.11.13 nie escapuje niektórych zmiennych, które mogą zawierać złośliwą treść podczas komponowania strony błędu. Atakujący z dostępem do edycji konfiguracji witryny może wykonać złośliwy kod, wstrzykując JavaScript jako część tych wartości.

Wersje Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie ograniczają rozmiaru treści żądania w punkcie końcowym API start meeting, co pozwala uwierzytelnionemu atakującemu na wyczerpanie zasobów lub odmowę usługi poprzez specjalnie spreparowane, zbyt duże żądanie HTTP POST do {{/api/v1/meetings}}.

Wersje Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13 oraz 11.4.x <= 11.4.3 nie weryfikują, czy zdalny klaster ma dostęp do kanału przed przetworzeniem żądań usunięcia członkostwa podczas synchronizacji członkostwa w kanałach współdzielonych. Złośliwy zdalny klaster może usunąć dowolnego użytkownika z dowolnego kanału, w tym kanałów prywatnych, poprzez spreparowane komunikaty synchronizacji.

Mattermost w wersjach 11.1.x <= 11.1.0, 11.0.x <= 11.0.5, 10.12.x <= 10.12.3 i 10.11.x <= 10.11.7 nie weryfikuje, czy akcje postów wywołujące /share-issue-publicly zostały utworzone przez wtyczkę Jira. Złośliwy użytkownik Mattermost może w ten sposób exfiltrować zgłoszenia Jira, gdy ofiary wchodzą w interakcję z zainfekowanymi postami.

Mattermost w wersjach 11.1.x <= 11.1.0, 11.0.x <= 11.0.5, 10.12.x <= 10.12.3, 10.11.x <= 10.11.7 nie weryfikuje członkostwa użytkownika w kanale podczas dołączania postów Mattermost jako komentarzy do zgłoszeń Jira, co pozwala uwierzytelnionemu atakującemu z dostępem do wtyczki Jira czytać treść postów i załączniki z kanałów, do których nie ma dostępu.

Mattermost w wersjach 10.11.x <= 10.11.5, 11.0.x <= 11.0.4, 10.12.x <= 10.12.2 nie unieważnia tokenów zaproszeń zdalnych klastrów przy użyciu starszego protokołu (wersja 1) lub gdy potwierdzająca strona nie dostarcza odświeżonego tokena. Pozwala to atakującemu, który uzyskał token zaproszenia, na uwierzytelnienie jako zdalny klaster i wykonywanie ograniczonych działań na współdzielonych kanałach nawet po potwierdzeniu zaproszenia.

Mattermost w wersjach 11.0.x do 11.0.4, 10.12.x do 10.12.2 oraz 10.11.x do 10.11.6 nie sprawdza poprawności formatu UTF-8 w polu żądania WebSocket, co pozwala atakującemu na wysłanie nieprawidłowego żądania i spowodowanie awarii pluginu Calls.

Mattermost w wersjach 10.11.x do 10.11.4 nie waliduje poprawnie adresów URL przekierowań na stronie /error. Atakujący może wykorzystać specjalnie spreparowany link otwierany w nowej karcie, aby przekierować ofiarę na złośliwą stronę.

Mattermost w wersjach 11.0.x <= 11.0.4, 10.12.x <= 10.12.2, 10.11.x <= 10.11.6 oraz Mattermost Calls <= 1.10.0 nie implementują ochrony CSRF na stronie widżetu Calls. Uwierzytelniony atakujący może zainicjować połączenia i wstrzyknąć wiadomości do kanałów lub wiadomości bezpośrednich poprzez złośliwą stronę internetową lub spreparowany link.

Mattermost w wersjach 10.11.x <= 10.11.6 oraz wtyczka GitHub do wersji <=2.4.0 nie walidują tożsamości bota wtyczki podczas przekazywania reakcji. Pozwala to atakującym na przejęcie funkcji reakcji GitHub, aby zmusić użytkowników do dodawania reakcji do dowolnych obiektów GitHub za pomocą spreparowanych wiadomości powiadomień.

W Mattermost w wersjach 10.11.x <= 10.11.4 oraz 10.5.x <= 10.5.12 występuje brak weryfikacji uprawnień użytkownika przy dostępie do plików i subskrypcji bloków w Boards. Uwierzytelniony użytkownik może uzyskać dostęp do plików innych tablic oraz subskrybować bloki z tablic, do których nie ma uprawnień.

W Mattermost w wersjach 11.0.x <= 11.0.2, 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12 występuje brak weryfikacji uprawnień użytkownika przy usuwaniu komentarzy w Boards. Umożliwia to uwierzytelnionemu użytkownikowi z rolą edytora usuwanie komentarzy utworzonych przez innych użytkowników.

W Mattermost w wersjach 11.0.x <= 11.0.2, 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12 nie oczyszcza się adresów e-mail zespołów, aby były widoczne tylko dla administratorów zespołu. Każdy uwierzytelniony użytkownik może wyświetlić adresy e-mail zespołów poprzez endpoint GET /api/v4/channels/{channel_id}/common_teams.

Wersje Mattermost 10.11.x <= 10.11.3 oraz 10.5.x <= 10.5.11 nie egzekwują uprawnień dostępu w pluginie Agents, co pozwala innym użytkownikom ustalić, kiedy użytkownicy czytali kanały, na podstawie obiektów członków kanału.

Mattermost w wersjach 10.11.x <= 10.11.3, 10.5.x <= 10.5.11 oraz 10.12.x <= 10.12.0 nie oczyszcza danych użytkownika, co pozwala administratorom systemu na dostęp do hashy haseł i sekretów MFA poprzez endpoint POST /api/v4/users/{user_id}/email/verify/member.

Wersje Mattermost 10.11.x do 10.11.3, 10.5.x do 10.5.11 oraz 10.12.x do 10.12.0 nie weryfikują relacji między edytowanym postem a przepływem OAuth wtyczki MSTeams. Umożliwia to atakującemu edycję dowolnych postów za pomocą spreparowanego adresu przekierowania OAuth.

W Mattermost w wersjach przed 11 nie jest wymuszane uwierzytelnianie wieloskładnikowe (MFA) na połączeniach WebSocket. Umożliwia to nieuwierzytelnionym użytkownikom dostęp do wrażliwych informacji poprzez zdarzenia WebSocket.

Wersje Mattermost <11.0 nie egzekwują prawidłowo ustawienia "Allow users to view archived channels", co pozwala zwykłym użytkownikom na dostęp do zawartości i plików zarchiwizowanych kanałów poprzez funkcję "Open in Channel" z obserwowanych wątków.

Mattermost w wersjach poniżej 11 nie ogranicza prawidłowo dostępu do API wyszukiwania zarchiwizowanych kanałów. Umożliwia to użytkownikom-gościom odkrywanie zarchiwizowanych kanałów publicznych poprzez endpoint `/api/v4/teams/{team_id}/channels/search_archived`.

Wersje Mattermost 10.11.x <= 10.11.3 oraz 10.5.x <= 10.5.11 nieprawidłowo weryfikują uprawnienia członkostwa w zespołach w API Add Channel Member. Umożliwia to użytkownikom jednego zespołu dostęp do metadanych użytkowników i informacji o członkostwie w kanałach innych zespołów poprzez endpoint API.

Mattermost w wersjach 10.11.x <= 10.11.1, 10.10.x <= 10.10.2 oraz 10.5.x <= 10.5.10 nie weryfikuje, czy użytkownik ma uprawnienia do dołączenia do zespołu przy użyciu oryginalnego tokenu zaproszenia. Pozwala to atakującemu dołączyć do dowolnego zespołu na serwerze Mattermost, niezależnie od ograniczeń, poprzez manipulację parametrem RelayState.

W Mattermost w wersjach 10.11.x <= 10.11.1, 10.10.x <= 10.10.2, 10.5.x <= 10.5.10 nie jest weryfikowane, czy użytkownik ma uprawnienia do dołączenia do zespołu przy użyciu oryginalnego tokenu zaproszenia. Pozwala to atakującemu dołączyć do dowolnego zespołu na serwerze Mattermost, niezależnie od ograniczeń, poprzez manipulację stanem OAuth.

Mattermost w wersjach 10.5.x <= 10.5.10 oraz 10.11.x <= 10.11.2 nie stosuje porównania w stałym czasie dla wrażliwych porównań ciągów znaków, co pozwala atakującym wykorzystać wyrocznie czasowe do bajt-po-bajcie ataków brute-force poprzez analizę czasu odpowiedzi na klucze API Cloud i sekrety klienta OAuth.

Mattermost w wersjach 10.10.x <= 10.10.2, 10.5.x <= 10.5.10, 10.11.x <= 10.11.2 nie weryfikuje własności adresu e-mail podczas importu z Slacka. Pozwala to atakującym na tworzenie zweryfikowanych kont użytkowników z dowolnymi domenami e-mail poprzez złośliwe dane importu, omijając ograniczenia dostępu oparte na domenie e-mail.

W Mattermost w wersjach 10.5.x <= 10.5.10 oraz 10.11.x <= 10.11.2 występuje niewłaściwa walidacja uprawnień użytkowników gości przy dodawaniu członków kanału. Umożliwia to gościom dodanie dowolnych członków zespołu do swoich prywatnych kanałów poprzez endpoint /api/v4/channels/{channel_id}/members.

Wersje Mattermost 10.5.x <= 10.5.12 oraz 10.11.x <= 10.11.2 nieprawidłowo weryfikują uprawnienia użytkowników-gości przy dostępie do informacji o kanałach. Pozwala to gościom na odkrywanie aktywnych kanałów publicznych i ich metadanych poprzez endpoint /api/v4/teams/{team_id}/channels/ids.

Mattermost w wersjach 10.5.x <= 10.5.8 oraz 9.11.x <= 9.11.17 nieprawidłowo weryfikuje kontrolę dostępu, co pozwala każdemu uwierzytelnionemu użytkownikowi na pobieranie wrażliwych plików przez endpoint pobierania plików tablicy przy użyciu enumeracji UUID.

Mattermost w wersjach 10.8.x <= 10.8.3, 10.5.x <= 10.5.8, 9.11.x <= 9.11.17, 10.10.x <= 10.10.1, 10.9.x <= 10.9.3 nie waliduje konfiguracji ścieżki katalogu importu, co pozwala użytkownikom administracyjnym na wykonanie dowolnego kodu poprzez przesłanie złośliwej wtyczki do katalogu prepackaged plugins.

Wersje Mattermost 10.5.x <= 10.5.9 nieprawidłowo weryfikują adresy URL przekierowań, co pozwala atakującym na przekierowanie użytkowników do złośliwych witryn za pomocą spreparowanych adresów URL logowania OAuth.

W Mattermost w wersjach 10.10.x <= 10.10.1, 10.5.x <= 10.5.9, 10.9.x <= 10.9.4 nie jest walidowany parametr redirect_to, co pozwala atakującemu na stworzenie złośliwego linku, który po uwierzytelnieniu użytkownika przez SAML może wysłać jego ciasteczka na adres kontrolowany przez atakującego.

Wersje Mattermost 10.8.x <= 10.8.3, 10.5.x <= 10.5.8, 9.11.x <= 9.11.17, 10.10.x <= 10.10.1, 10.9.x <= 10.9.3 nieprawidłowo walidują klucze pamięci podręcznej dla metadanych linków. Umożliwia to uwierzytelnionym użytkownikom dostęp do nieautoryzowanych postów i zatruwanie podglądów linków poprzez ataki kolizji hash na hashowaniu FNV-1.

Mattermost w wersjach 10.10.x <= 10.10.1 nie oczyszcza prawidłowo danych użytkownika podczas synchronizacji członkostwa w kanałach współdzielonych. Złośliwe lub przejęte zdalne klastry mogą uzyskać dostęp do wrażliwych informacji o użytkownikach poprzez nieoczyszczone obiekty użytkownika. Podatność dotyczy serwerów Mattermost z włączonymi kanałami współdzielonymi.

Mattermost nie ogranicza wartości parametrów, które przyjmuje z żądania podczas rejestracji, co pozwala atakującemu na rejestrowanie użytkowników jako nieaktywnych. W rezultacie zablokowani są oni przed późniejszym dostępem do Mattermost, dopóki administrator systemu nie aktywuje ich kont.

Mattermost nie oczyszcza metadanych postów podczas logowania audytów, co skutkuje rejestrowaniem zawartości linków permalinks.

Mattermost nieprawidłowo weryfikuje uprawnienia użytkownika podczas aktualizacji danych administratora systemu, co pozwala menedżerowi użytkowników na modyfikację szczegółów administratora, takich jak adres e-mail, imię i nazwisko.

Mattermost nie sprawdza, czy użytkownik żądający akcji jest gościem, co pozwala gościom na przeglądanie, dołączanie, edytowanie, eksportowanie i archiwizowanie publicznych playbooków.

Mattermost nie usuwa załączników podczas usuwania wiadomości w wątku, co pozwala zwykłemu użytkownikowi na dostęp i pobranie załącznika z usuniętej wiadomości.

Mattermost nieprawidłowo waliduje plik obrazu gif, co pozwala atakującemu na wykorzystanie znacznej ilości zasobów serwera, co prowadzi do jego długotrwałej niedostępności.

Mattermost nieprawidłowo waliduje markdown, co pozwala atakującemu na zablokowanie serwera poprzez specjalnie przygotowany input markdown.

Mattermost nie unieważnia wcześniej wygenerowanych tokenów resetowania hasła, gdy tworzony jest nowy token resetujący.

Mattermost nieprawidłowo wyświetla informacje w interfejsie użytkownika, co pozwala administratorowi systemu na modyfikację stanu tablicy. Umożliwia to każdemu użytkownikowi z ważnym linkiem do udostępnienia dołączenie do tablicy z dostępem edytora, bez aktualizacji widocznych uprawnień w UI.

Mattermost nie dezaktywuje publicznych tablic po wyłączeniu opcji konfiguracyjnej 'Włącz publicznie udostępniane tablice', co skutkuje tym, że wcześniej udostępnione publiczne tablice pozostają dostępne.

Mattermost nieprawidłowo sprawdza autoryzację dla żądania POST /api/v4/teams, gdy w żądaniu przekazywane jest ID schematu nadpisania zespołu. Umożliwia to uwierzytelnionemu atakującemu, który zna ID schematu nadpisania zespołu, stworzenie nowego zespołu z tym schematem.