PT-2021-18749 · Zulip · Zulip Server

Publicado 2021-04-14 · Atualizado 2022-07-12 · CVE-2021-30478

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Zulip Server anteriores à 3.4

Descrição

Foi descoberta uma falha na implementação da permissão can forge sender, anteriormente conhecida como is api super user, que permitia que usuários com essa permissão enviassem mensagens que pareciam ter sido enviadas por um bot do sistema, inclusive para outras organizações hospedadas na mesma instalação do Zulip.

Recomendações

Para versões anteriores à 3.4, atualize para a versão 3.4 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da permissão can forge sender para minimizar o risco de exploração.

Correção

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2021-30478

Produtos afetados

Zulip Server

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2021-30478 · Nota de Segurança
• https://t.me/cvenotify/13237 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-30478 · Aviso do Fabricante
• https://blog.zulip.com/2021/04/14/zulip-server-3-4 · Aviso do Fabricante