Podatności Mattermost

Wtyczka Mattermost MSTeams w wersjach <2.1.0 oraz Mattermost Server w wersjach 10.5.x <=10.5.1 z włączoną wtyczką MS Teams nie wykonują porównania w stałym czasie dla sekretu webhooka wtyczki MSTeams. Pozwala to atakującemu na odzyskanie sekretu webhooka za pomocą ataku czasowego podczas porównywania sekretu.

Mattermost w wersjach 10.5.x <= 10.5.1, 10.4.x <= 10.4.3 oraz 9.11.x <= 9.11.9 nie sprawdza konfiguracji "Allow Users to View Archived Channels" przy pobieraniu metadanych kanału posta z zarchiwizowanych kanałów. Uwierzytelnieni użytkownicy mogą uzyskać dostęp do takich informacji, gdy kanał jest zarchiwizowany.

W Mattermost w wersjach 10.5.x <= 10.5.1 oraz 9.11.x <= 9.11.9 występuje brak wymuszania kontroli MFA w endpoincie PUT /api/v4/users/user-id/mfa, gdy żądający użytkownik różni się od docelowego identyfikatora użytkownika. Umożliwia to użytkownikom z uprawnieniem edit_other_users aktywowanie lub dezaktywowanie MFA dla innych użytkowników, nawet jeśli ci nie skonfigurowali MFA.

W wersjach Mattermost 10.5.x <= 10.5.1, 10.4.x <= 10.4.3 oraz 9.11.x <= 9.11.9 nie uniemożliwiono postom Wranglera wywoływania odpowiedzi AI. Użytkownik bez dostępu do bota AI może go aktywować, dołączając właściwość activate_ai do posta przez plugin Wrangler, jeśli oba pluginy (AI i Wrangler) są włączone.

Mattermost w wersjach 10.5.x <= 10.5.1, 10.4.x <= 10.4.3 oraz 9.11.x <= 9.11.9 nie unieważnia pamięci podręcznej po konwersji konta użytkownika na bota. Pozwala to atakującemu na jednorazowe zalogowanie się do bota przy użyciu zwykłych poświadczeń.

Wersje Mattermost 10.5.x <= 10.5.1 oraz 9.11.x <= 9.11.9 nie sprawdzają, czy plik został usunięty podczas tworzenia zakładki. Pozwala to atakującemu znającemu identyfikatory usuniętych plików na uzyskanie metadanych tych plików poprzez utworzenie zakładki.

W Mattermost w wersjach 10.5.x <= 10.5.1, 10.4.x <= 10.4.3 oraz 9.11.x <= 9.11.9 nie ograniczono niektórych operacji na administratorach systemu wyłącznie do innych administratorów systemu. Umożliwia to użytkownikom z delegowanymi uprawnieniami granularnymi i uprawnieniem "Edit Other Users" dokonywanie nieautoryzowanych modyfikacji kont administratorów systemu.

W Mattermost w wersjach 9.11.x <= 9.11.8 nie są wymuszane prawidłowe kontrole dostępu do endpointu /api/v4/audits. Umożliwia to użytkownikom z delegowanymi rolami administracyjnymi granularnymi, którzy nie mają dostępu do Compliance Monitoring, pobieranie dzienników aktywności użytkowników.

Mattermost w wersjach 10.4.x <= 10.4.2, 10.3.x <= 10.3.3, 9.11.x <= 9.11.8 nie egzekwuje ograniczeń konwersji kanałów. Członkowie z uprawnieniem do konwersji kanałów publicznych na prywatne mogą również konwertować kanały prywatne na publiczne.

Mattermost w wersjach 10.1.x <= 10.1.3, 10.4.x <= 10.4.1, 9.11.x <= 9.11.7, 10.3.x <= 10.3.2, 10.2.x <= 10.2.2 nie ogranicza eksportu kanałów archiwalnych, gdy opcja 'Allow users to view archived channels' jest wyłączona, co pozwala użytkownikowi na eksport zawartości kanału, do którego nie powinien mieć dostępu.

Wersje Mattermost 9.11.x do 9.11.6 oraz 10.4.x do 10.4.1 nie unieważniają wszystkich aktywnych sesji podczas konwersji użytkownika na bota. Pozwala to przekonwertowanemu użytkownikowi na eskalację uprawnień w zależności od uprawnień przyznanych botowi.

Mattermost w wersjach 10.2.x <= 10.2.0, 9.11.x <= 9.11.5, 10.0.x <= 10.0.3 oraz 10.1.x <= 10.1.3 nieprawidłowo obsługuje posty z załącznikami zawierającymi pola, których nie można rzutować na String. Atakujący może spowodować awarię aplikacji webowej poprzez utworzenie i wysłanie takiego posta na kanał.

Wersje Mattermost 10.2.x <= 10.2.0, 9.11.x <= 9.11.5, 10.0.x <= 10.0.3 oraz 10.1.x <= 10.1.3 nieprawidłowo walidują właściwości postów, co pozwala złośliwemu uwierzytelnionemu użytkownikowi wywołać awarię serwera za pomocą spreparowanego posta.

Mattermost w wersjach 10.2.x <= 10.2.0, 9.11.x <= 9.11.5, 10.0.x <= 10.0.3 oraz 10.1.x <= 10.1.3 nieprawidłowo waliduje właściwości postów, co pozwala złośliwemu uwierzytelnionemu użytkownikowi wywołać awarię poprzez spreparowany post.

Mattermost w wersjach 10.2.x <= 10.2.0, 9.11.x <= 9.11.5, 10.0.x <= 10.0.3, 10.1.x <= 10.1.3 nieprawidłowo weryfikuje styl proto dostarczony do stylu akcji w post.props.attachments. Pozwala to atakującemu na zawieszenie frontendu poprzez spreparowane złośliwe dane wejściowe.

Mattermost w wersjach 9.11.x <= 9.11.5 nie egzekwuje uprawnień do zapraszania, co pozwala administratorom zespołu bez uprawnień do zapraszania użytkowników zapraszać ich poprzez zmianę pola "allow_open_invite" i uczynienie zespołu publicznym.

Wersje Mattermost 10.x <= 10.2 nieprawidłowo odzwierciedlają brakujące ustawienia, co powoduje dezorientację administratorów dotyczącą konfiguracji bezpieczeństwa funkcji Calls poprzez błędne raportowanie w interfejsie użytkownika.

Mattermost w wersjach 10.2.0, 9.11.x <= 9.11.5, 10.0.x <= 10.0.3 oraz 10.1.x <= 10.1.3 nieprawidłowo waliduje typy postów. Atakujący może wywołać odmowę usługi dla użytkowników z uprawnieniem sysconsole_read_plugins, tworząc post typu custom_pl_notification z określonymi właściwościami.

Mattermost w wersjach 9.10.x <= 9.10.2, 9.11.x <= 9.11.1, 9.5.x <= 9.5.9 nie oczyszcza danych wejściowych użytkownika w interfejsie frontendowym używanych do przekierowań, co pozwala na jednostronne przejście ścieżki po stronie klienta prowadzące do CSRF w Playbooks.

Mattermost w wersjach 9.10.x <= 9.10.2, 9.11.x <= 9.11.1 oraz 9.5.x <= 9.5.9 nie sprawdza, czy pochodzenie wiadomości w akcji integracyjnej jest zgodne z metadanymi oryginalnego posta. Uwierzytelniony użytkownik może usunąć dowolny post.

Mattermost w wersjach 9.5.x <= 9.5.9 nie filtruje prawidłowo danych kanału, gdy włączony jest ElasticSearch, co pozwala użytkownikowi na uzyskanie nazw prywatnych kanałów za pomocą skrótu cmd+K/ctrl+K.

Mattermost w wersjach 9.11.X <= 9.11.1 oraz 9.5.x <= 9.5.9 nieprawidłowo tworzy dwie sesje podczas korzystania z desktopowego SSO — jedną w przeglądarce, a drugą w aplikacji desktopowej z nieprawidłowymi ustawieniami.

Wersje Mattermost 9.11.x <= 9.11.0 oraz 9.5.x <= 9.5.8 nie sprawdzają, czy wiadomość posta z permalinkiem jest ciągiem znaków. Atakujący może wysłać wartość niebędącą ciągiem jako wiadomość posta z permalinkiem i spowodować awarię frontendu.

Wersje Mattermost 9.9.x <= 9.9.0 oraz 9.5.x <= 9.5.6 nie weryfikują źródła komunikatów synchronizacji i zezwalają tylko na poprawne zdalne identyfikatory. Złośliwy zdalny serwer może ustawić dowolne wartości RemoteId dla synchronizowanych użytkowników i twierdzić, że użytkownik został zsynchronizowany z innego zdalnego serwera.

Mattermost w wersjach 9.9.x <= 9.9.0, 9.5.x <= 9.5.6, 9.7.x <= 9.7.5 oraz 9.8.x <= 9.8.1 nie blokuje modyfikacji lokalnych kanałów przez zdalnego nadawcę, gdy włączone są kanały współdzielone. Złośliwy zdalny nadawca może uczynić dowolny lokalny kanał tylko do odczytu.

Mattermost w wersjach 9.9.x <= 9.9.0, 9.5.x <= 9.5.6, 9.7.x <= 9.7.5 oraz 9.8.x <= 9.8.1 nie waliduje poprawnie zsynchronizowanych postów, gdy włączone są kanały współdzielone. Złośliwy zdalny nadawca może tworzyć, aktualizować lub usuwać dowolne posty w dowolnych kanałach.

Mattermost w wersjach 9.9.x <= 9.9.0 i 9.5.x <= 9.5.6 nie ogranicza prawidłowo tworzenia kanałów, co pozwala złośliwemu zdalnemu użytkownikowi tworzyć dowolne kanały, gdy włączone są kanały współdzielone.

Wersje Mattermost 8.1.x przed 8.1.9, 9.2.x przed 9.2.5, 9.3.0 oraz 9.4.x przed 9.4.2 nie ograniczają liczby nazw ról żądanych z API, co pozwala uwierzytelnionemu atakującemu wywołać wyczerpanie pamięci i awarię serwera poprzez wysłanie nietypowo dużego żądania HTTP.

W Mattermost w wersjach 8.1.x przed 8.1.9 oraz 9.4.x przed 9.4.2 występuje warunek wyścigu, który pozwala uwierzytelnionemu atakującemu uzyskać nieautoryzowany dostęp do treści pojedynczych postów poprzez precyzyjnie zaplanowane tworzenie postów podczas usuwania postów przez innego użytkownika.

Wersje Mattermost 8.1.x przed 8.1.9, 9.2.x przed 9.2.5 oraz 9.3.0 nie sanityzują metadanych postów zawierających permalinki w określonych warunkach. Umożliwia to uwierzytelnionemu atakującemu dostęp do treści pojedynczych postów w kanałach, których nie jest członkiem.

Mattermost nie sprawdza uprawnienia 'invite_guest' podczas zapraszania gości z innych zespołów do zespołu. Pozwala to członkowi posiadającemu uprawnienia do dodawania innych członków, ale nie do dodawania gości, dodać gościa do zespołu, o ile gość ten był już gościem w innym zespole na tym samym serwerze.

Mattermost nie ogranicza prawidłowo dostępu do plików załączonych do postów w zarchiwizowanym kanale. W rezultacie członkowie mogą uzyskać dostęp do plików zarchiwizowanych kanałów, nawet gdy opcja „Allow users to view archived channels” jest wyłączona.

Mattermost nie sprawdza, czy eksport zgodności jest włączony podczas pobierania postów z kanałów publicznych, co pozwala użytkownikowi niebędącemu członkiem kanału publicznego na pobranie postów, które nie będą audytowane w eksporcie zgodności.

Ten identyfikator CVE został odrzucony przez CNA. Dalsze dochodzenie wykazało, że nie jest to problem bezpieczeństwa.

Mattermost nie sprawdza, czy reakcja w postaci niestandardowego emoji istnieje, ani nie ogranicza liczby niestandardowych emoji dodawanych w poście. Atakujący może wysłać ogromną liczbę nieistniejących emoji, powodując awarię aplikacji mobilnej użytkownika oraz przeciążenie serwera przy próbie pobrania posta.

Podatność w Mattermost polega na braku weryfikacji wymaganych uprawnień w API POST /api/v4/channels/stats/member_count. W rezultacie użytkownik bez odpowiednich uprawnień może uzyskać informacje o liczbie członków kanału.

Mattermost nie aktualizuje uprawnień bieżącej sesji użytkownika, który został właśnie zdegradowany do gościa. W rezultacie świeżo zdegradowani goście mogą zmieniać nazwy grup.

Mattermost nie ogranicza odpowiedzi WebSocket dotyczącej powiadomionych użytkowników do każdego użytkownika osobno. W rezultacie WebSocket rozgłasza informacje o tym, kto został powiadomiony o poście, do wszystkich innych w kanale.

Mattermost nieprawidłowo weryfikuje uprawnienia wymagane do przeglądania zarchiwizowanych kanałów publicznych. Członek jednego zespołu może uzyskać szczegóły zarchiwizowanych kanałów publicznych innego zespołu poprzez endpoint GET /api/v4/teams/<team-id>/channels/deleted.

W Mattermost w wersji 8.1.6 i wcześniejszych nie jest sanityzowany kod wzmianek kanałów w postach, co pozwala atakującemu wstrzyknąć znaczniki (markup) w kliencie webowym.

Mattermost grupuje wywołania w punkcie końcowym /metrics według identyfikatora i zwraca ten identyfikator w odpowiedzi. Ponieważ identyfikator ten jest identyfikatorem kanału (channelID), publiczny punkt końcowy /metrics ujawnia identyfikatory kanałów.

Aplikacja webowa Mattermost nieprawidłowo waliduje parametry trasy w /<TEAM_NAME>/channels/<CHANNEL_NAME>, co pozwala atakującemu na przeprowadzenie po stronie klienta path traversal. Może to umożliwić dostęp do nieautoryzowanych ścieżek.

Mattermost nie przeprowadza właściwej autoryzacji w punkcie końcowym /plugins/focalboard/api/v2/users, co pozwala atakującemu będącemu gościem i znającemu ID innego użytkownika na uzyskanie jego informacji (np. imienia, nazwiska, pseudonimu) poprzez Mattermost Boards.

Mattermost nie ogranicza rozmiaru logów serwera, co pozwala atakującemu wysyłać specjalnie spreparowane żądania do różnych endpointów i potencjalnie przepełnić log.

Mattermost nie ogranicza ilości danych wyodrębnianych ze skompresowanych archiwów podczas importu tablic w Mattermost Boards, co pozwala atakującemu na zużycie nadmiernych zasobów poprzez import tablicy przy użyciu specjalnie spreparowanego pliku zip (zip bomb), potencjalnie prowadząc do odmowy usługi.

Mattermost nieprawidłowo weryfikuje parametr przekierowania URL, co umożliwia otwarte przekierowanie, gdy użytkownik kliknie "Back to Mattermost" po podaniu nieprawidłowego schematu niestandardowego URL w /oauth/{service}/mobile_login?redirect_to=.

Mattermost nieprawidłowo waliduje opcję "Show Full Name" w niektórych endpointach Mattermost Boards. Członek może uzyskać pełne imię i nazwisko innego użytkownika, nawet jeśli opcja wyświetlania pełnego imienia była wyłączona.

Mattermost nie sprawdza, czy ustawienie „Allow users to view archived channels” jest włączone podczas wyświetlania podglądu permalinków. W rezultacie członkowie mogą zobaczyć podglądy permalinków zarchiwizowanych kanałów, nawet gdy to ustawienie jest wyłączone.

Mattermost nie używa innerText / textContent podczas ustawiania nazwy kanału w aplikacji webowej podczas autouzupełniania, co pozwala atakującemu wstrzyknąć HTML do strony ofiary poprzez utworzenie nazwy kanału będącej prawidłowym HTML. Nie jest jednak możliwy atak XSS.

Mattermost nie sprawdza, czy włączony jest tryb utwardzony (Hardened Mode) przy nadpisywaniu nazwy użytkownika i/lub ikony podczas publikowania posta. Jeśli ustawienia pozwalały integracjom nadpisywać nazwę użytkownika i zdjęcie profilowe, członek mógł również nadpisać nazwę użytkownika i ikonę podczas publikowania posta, nawet gdy tryb utwardzony był włączony.