Alexmv

Name of the Vulnerable Software and Affected Versions: Zulip (affected versions not specified) Description: A weekly cron job in Zulip demotes channels to being "inactive" after they have not received traffic for 180 days. However, upon doing so, an event was sent to all users in the organization, not just users in the channel, containing the name of the private channel. Similarly, the same commit added functionality to notify clients when channels stopped being "inactive," which also leaked an event to all users in the organization with the name of the private channel. The estimated number of potentially affected devices worldwide is not available. There is no information about real-world incidents where this issue was exploited. Recommendations: At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do Software Vulnerável e Versões Afetadas** Zulip Server versões 7.0 a 9.3 **Descrição** O problema refere-se a um ataque de divulgação de informações no qual um usuário não autenticado pode determinar se um endereço de e-mail está em uso por um usuário em um servidor Zulip que hospeda múltiplas organizações. Não há soluções alternativas conhecidas para este problema. **Recomendações** Para as versões 7.0 a 9.3 do Zulip Server, atualize para o Zulip Server 9.4 ou mude para o branch `main` do Zulip Server para resolver o problema. No momento, não há outras informações sobre medidas de mitigação adicionais.

**Nome do software vulnerável e versões afetadas** Versões 3.0 a 8.2 do Zulip **Descrição** O problema ocorre quando um usuário move uma mensagem do Zulip de um fluxo público para um fluxo privado e opta por mover apenas essa mensagem específica. Nesses casos, usuários ativos sem acesso ao fluxo privado, mas cujo cliente já tivesse recebido a mensagem, continuariam a ver a mensagem no fluxo público até que recarregassem seu cliente. Além disso, o Zulip não removia as permissões de visualização da mensagem para usuários recentemente ativos, permitindo que a mensagem aparecesse na visualização “Todas as mensagens” ou nos resultados de pesquisa. Esse bug está presente desde a versão 3.0, mas tornou-se mais comum a partir do Zulip 8.0. **Recomendações** Para as versões 3.0 a 8.2 do Zulip, atualize para o Zulip Server 8.3 para resolver o problema. Como solução temporária, considere recarregar o cliente para garantir que a mensagem não esteja mais visível no fluxo público. Restrinja o acesso às mensagens movidas para minimizar o risco de divulgação de informações até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Zulip versão 8.0 **Descrição** Uma vulnerabilidade no Zulip afeta instalações nas quais usuários sem privilégios de administrador podem convidar usuários e criar convites para uso múltiplo, mas apenas administradores podem convidar usuários para canais. Esse problema permite que os usuários convidem novos usuários para canais que já podem ver, mas não para canais arbitrários. O número estimado de dispositivos potencialmente afetados não foi especificado. **Recomendações** Para a versão 8.0, como solução temporária, os administradores podem limitar o envio de convites a usuários que também tenham permissão para adicionar usuários a streams. Para a versão 8.0, atualize para a versão 8.1 para resolver o problema.

**Name of the Vulnerable Software and Affected Versions** Zulip versions prior to 7.5 **Description** A security issue was found in Zulip, an open-source team collaboration tool, where users who had been removed from a stream could still access its metadata using the Zulip API. This included stream name, description, settings, and an email address used for incoming email integration. As a result, users could see changes to a stream's metadata after they had lost access to the stream. **Recommendations** For versions prior to 7.5, upgrade to version 7.5 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Zulip Server versions prior to 7.3 **Description** Zulip is an open-source team collaboration tool with topic-based threading that combines email and chat. Users who used to be subscribed to a private stream and have been removed from it since retain the ability to edit messages/topics, move messages to other streams, and delete messages that they used to have access to, if other relevant organization permissions allow these actions. For example, a user may be able to edit or delete their old messages they posted in such a private stream. An administrator will be able to delete old messages (that they had access to) from the private stream. **Recommendations** For Zulip Server versions prior to 7.3, update to Zulip Server version 7.3 to resolve the issue. As a temporary workaround, consider restricting access to private streams and limiting organization permissions to minimize the risk of exploitation. Restrict the ability to edit, move, or delete messages in private streams to only authorized users.

**Name of the Vulnerable Software and Affected Versions** Zulip versions prior to 6.2 **Description** Zulip is an open-source team collaboration tool with unique topic-based threading. An attacker can create a new account in the organization with an arbitrary email address in their control that's not in the organization's LDAP directory, given that `ZulipLDAPAuthBackend` and an external authentication backend are the only ones enabled in `AUTHENTICATION BACKENDS` in `/etc/zulip/settings.py` and the organization permissions don't require invitations to join. The impact is limited to installations with this specific combination of authentication backends and having `Invitations are required for joining this organization` organization permission disabled. **Recommendations** For versions prior to 6.2, upgrade to version 6.2 to address the issue. As a temporary workaround for users unable to upgrade, enable the `Invitations are required for joining this organization` organization permission to prevent this issue.

**Name of the Vulnerable Software and Affected Versions** Zulip Server versions 6.1 and below **Description** Zulip is an open-source team collaboration tool with unique topic-based threading. Zulip administrators can configure Zulip to limit who can add users to streams, and separately to limit who can invite users to the organization. In Zulip Server, the UI which allows a user to invite a new user also allows them to set the streams that the new user is invited to -- even if the inviting user would not have permissions to add an existing user to streams. While such a configuration is likely rare in practice, the behavior does violate security-related controls. This does not let a user invite new users to streams they cannot see, or would not be able to add users to if they had that general permission. **Recommendations** For Zulip Server versions 6.1 and below, users are advised to upgrade to version 6.2 to address the issue. For users unable to upgrade, it is recommended to limit sending of invitations down to users who also have the permission to add users to streams.

**Name of the Vulnerable Software and Affected Versions** Zulip versions prior to commit `2f6c5a8` but after commit `04cf68b` **Description** Zulip is an open-source team collaboration tool. In affected versions, users could upload files with arbitrary `Content-Type` which would be served from the Zulip hostname with `Content-Disposition: inline` and no `Content-Security-Policy` header, allowing them to trick other users into executing arbitrary Javascript in the context of the Zulip application. This enables session theft. Only deployments which use the S3 storage are affected, and only deployments which deployed commit `04cf68b45ebb5c03247a0d6453e35ffc175d55da`, which has only been in `main`, not any numbered release. **Recommendations** To resolve the issue, users should upgrade from `main` again to deploy the fix. As a temporary workaround, switching from S3 storage to the local-disk storage would nominally mitigate this, but is likely more involved than upgrading to the latest `main` which addresses the issue.

**Nome do software vulnerável e versões afetadas** Versões 5.0 a 5.6 do Zulip Server **Descrição** O Zulip é uma ferramenta de colaboração em equipe de código aberto. Para organizações com o gerenciamento de contas do System for Cross-domain Identity Management (SCIM) habilitado, seria teoricamente possível que um invasor deduzisse o valor do token de portador SCIM realizando uma análise de tempo sofisticada em um grande número de solicitações com falha. Se bem-sucedido, isso permitiria ao invasor se passar pelo cliente SCIM para obter acesso às suas capacidades de ler e atualizar contas de usuário na organização Zulip. **Recomendações** Para as versões 5.0 a 5.6 do Zulip Server, considere desativar o gerenciamento de contas SCIM até que um patch esteja disponível para evitar uma possível exploração. Restrinja o acesso ao cliente SCIM para minimizar o risco de falsificação de identidade. Evite usar o token de portador SCIM em operações confidenciais até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Zulip Server de 2.1.0 a 5.3 **Descrição** O Zulip é uma ferramenta de colaboração em equipe de código aberto. Possui uma ferramenta na interface do usuário, acessível apenas aos proprietários e administradores do servidor, que permite baixar uma exportação de “dados públicos”. No entanto, essa exportação contém o conteúdo de todos os anexos, mesmo aqueles de mensagens privadas e fluxos, permitindo potencialmente que administradores acessem informações privadas às quais não deveriam ter acesso. **Recomendações** Para as versões 2.1.0 a 5.3 do Zulip Server, atualize para a versão 5.4 para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões 2.1.0 a 5.2 do Zulip **Descrição** O problema está relacionado a um erro de lógica no Zulip, uma ferramenta de colaboração em equipe de código aberto. Quando um fluxo configurado como privado com histórico protegido é editado, o servidor envia incorretamente um evento de API que inclui a mensagem editada a todos os assinantes atuais do fluxo. Esse evento de API é ignorado pelos clientes oficiais, mas pode ser observado usando um cliente modificado ou as ferramentas de desenvolvedor do navegador. **Recomendações** Para as versões 2.1.0 a 5.2, atualize para o Zulip Server 5.3 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a fluxos editados para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões 4.0 a 4.10 do Zulip **Descrição** O Zulip é um aplicativo de bate-papo em grupo de código aberto que apresenta uma vulnerabilidade relacionada a uma condição de corrida durante a desativação de contas. Esse problema pode permitir que um usuário desativado continue tendo acesso, em casos raros, caso haja acesso simultâneo por parte do próprio usuário que está sendo desativado. **Recomendações** Para as versões 4.0 a 4.10 do Zulip, atualize para a versão 4.11 na ramificação 4.x ou para a versão 5.0-rc1 na ramificação 5.x para resolver o problema. A atualização para uma versão corrigida desativará quaisquer sessões armazenadas em cache que possam ter vazado devido a esse bug.

**Nome do software vulnerável e versões afetadas** Versões 2.0.0 a 4.9 do Zulip Server **Descrição** O Zulip é uma ferramenta de colaboração em equipe de código aberto com discussões organizadas por tópicos. Uma instância do Zulip Server que hospeda várias organizações está vulnerável a um ataque em que um convite criado em uma organização pode ser usado para ingressar em qualquer outra organização. Isso contorna quaisquer restrições de domínios obrigatórios nos endereços de e-mail dos usuários, podendo ser usado para obter acesso a organizações que só são acessíveis por convite e para obter acesso com privilégios elevados. **Recomendações** Para as versões 2.0.0 a 4.9 do Zulip Server, atualize para a versão 4.10 para corrigir o problema. No momento, não há soluções alternativas conhecidas para este problema.

**Nome do software vulnerável e versões afetadas** Versões do Zulip Server anteriores à 4.9 **Descrição** O Zulip Server é uma ferramenta de colaboração em equipe de código aberto que instala o RabbitMQ para a transmissão interna de mensagens. A instalação inicial do Zulip Server anterior à versão 4.9 não limita adequadamente as portas padrão abertas pelo RabbitMQ, incluindo a porta 25672, a porta de distribuição do RabbitMQ. Essa porta é protegida por um “cookie” padrão gerado usando um PRNG fraco, resultando em aproximadamente 20 bits de entropia. Se não estiver protegido por outros firewalls, um invasor remoto pode usar força bruta para descobrir o “cookie” e executar código arbitrário como o usuário rabbitmq, bem como ler todos os dados enviados pelo RabbitMQ, incluindo o tráfego de mensagens dos usuários. **Recomendações** Para versões anteriores à 4.9, certifique-se de que os firewalls impeçam o acesso às portas 5672 e 25672 de fora do servidor Zulip como uma solução alternativa. Atualize para a versão 4.9, que contém um patch para este problema.

**Nome do software vulnerável e versões afetadas: Versões do Zulip anteriores à 4.8 Descrição: O Zulip é um aplicativo de bate-papo em grupo de código aberto que combina bate-papo em tempo real com conversas em threads. Nas versões afetadas, as datas de validade dos objetos de confirmação associados aos convites por e-mail não eram aplicadas corretamente no fluxo de registro de novas contas. Um link de confirmação leva o usuário ao endpoint `check prereg key and redirect`, antes de ser redirecionado para o POST em `/accounts/register/`. O problema era que a validação ocorria na parte `check prereg key and redirect` e não em `/accounts/register/` — o que significa que era possível enviar uma chave de confirmação expirada e conseguir se registrar. Recomendações: Para versões anteriores à 4.8, atualize para o Zulip 4.8 o mais rápido possível, pois não há soluções alternativas conhecidas para este problema.