PT-2022-13805 · Mattermost · Mattermost

Rohitesh Gupta · Publicado 2022-04-13 · Atualizado 2024-08-21 · CVE-2022-1332

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 6.4.1 e anteriores do Mattermost

Descrição

O problema está relacionado a um gerenciamento inadequado de privilégios no Mattermost, em que uma API não protege corretamente as permissões. Isso permite que usuários autenticados com funções administrativas personalizadas restritas contornem as restrições e visualizem informações confidenciais, incluindo logs do servidor e o conteúdo do arquivo config.json do servidor.

Recomendações

Para as versões 6.4.1 e anteriores do Mattermost, atualize para a versão 6.4.2, 6.3.5, 6.2.5 ou 5.37.9 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint da API responsável pelo gerenciamento de permissões até que um patch seja aplicado. Além disso, revise e restrinja as funções de administrador personalizadas para minimizar o risco de exploração.

Correção

Improper Privilege Management

Information Disclosure

Enumeração de Fraquezas

CWE-269

CWE-200

Identificadores relacionados

BIT-MATTERMOST-2022-1332

CVE-2022-1332

GHSA-QGGC-PJ29-J27M

GO-2022-0616

Produtos afetados

Mattermost

Referências · 9

• https://github.com/mattermost/mattermost-server · Nota
• https://github.com/advisories/GHSA-qggc-pj29-j27m · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-1332 · Nota de Segurança
• https://mattermost.com/security-updates · Aviso do Fabricante
• https://t.me/cvenotify/28870 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-qggc-pj29-j27m · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-1332 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-mattermost-2022-1332 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-0616 · Aviso do Fabricante