PT-2024-22819 · Mattermost · Mattermost Server

Omar Ahmed · Publicado 2024-04-05 · Atualizado 2024-12-16 · CVE-2024-29221

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Mattermost Server versões 8.1.x a 8.1.10

Mattermost Server versões 9.3.x a 9.3.2

Mattermost Server versões 9.4.x a 9.4.3

Mattermost Server versões 9.5.x a 9.5.1

Descrição

O problema está relacionado a um controle de acesso inadequado no Mattermost Server, especificamente no endpoint “/api/v4/users/me/teams”, permitindo que um administrador de equipe obtenha o ID de convite de sua equipe e convide usuários, mesmo que a permissão “Adicionar membros” tenha sido explicitamente removida dos administradores de equipe.

Recomendações

Para as versões 8.1.x a 8.1.10 do Mattermost Server, atualize para a versão 8.1.11 ou posterior.

Para as versões 9.3.x a 9.3.2 do Mattermost Server, atualize para a versão 9.3.3 ou posterior.

Para as versões 9.4.x a 9.4.3 do Mattermost Server, atualize para a versão 9.4.4 ou posterior.

Para as versões 9.5.x a 9.5.1 do Mattermost Server, atualize para a versão 9.5.2 ou posterior.

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

BIT-MATTERMOST-2024-29221

CVE-2024-29221

GHSA-W67V-PH4X-F48Q

GO-2024-2706

Produtos afetados

Mattermost Server

Referências · 16

• https://github.com/mattermost/mattermost · Nota
• https://github.com/mattermost/mattermost/commit/a5784f34ba6592c6454b8742f24af9d06279e347 · Nota
• https://github.com/mattermost/mattermost/commit/5cce9fed7363386afebd81a58fb5fab7d2729c8f · Nota
• https://github.com/mattermost/mattermost/commit/dd3fe2991a70a41790d6bef5d31afc5957525f3c · Nota
• https://github.com/mattermost/mattermost/commit/0dc03fbc6e3c9afb14137e72ab3fa6f5a0125b9c · Nota
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-29221 · Nota
• https://osv.dev/vulnerability/GHSA-w67v-ph4x-f48q · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-29221 · Nota de Segurança
• https://mattermost.com/security-updates · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-mattermost-2024-29221 · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2024-2706 · Nota
• https://osv.dev/vulnerability/GO-2024-2706 · Aviso do Fabricante
• https://t.me/cvenotify/104199 · Publicação no Telegram
• https://github.com/advisories/GHSA-w67v-ph4x-f48q · Nota
• https://osv.dev/vulnerability/CVE-2024-29221 · Aviso do Fabricante