PT-2024-2727 · Mastodon · Mastodon
Natureshadow
·
Publicado
2024-02-14
·
Atualizado
2024-12-18
·
CVE-2024-25618
CVSS v3.1
7.4
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do Mastodon anteriores à 3.5.18
Versões do Mastodon anteriores à 4.0.14
Versões do Mastodon anteriores à 4.1.14
Versões do Mastodon anteriores à 4.2.6
Descrição
O problema está relacionado à implementação dos protocolos CAS, SAML e OpenID Connect no Mastodon, o que permite que novas identidades de provedores de autenticação configurados sejam associadas a usuários locais existentes com o mesmo endereço de e-mail. Isso resulta em uma possível invasão de conta se o provedor de autenticação permitir a alteração do endereço de e-mail ou se vários provedores de autenticação estiverem configurados. Todos os usuários que fazem login por meio de provedores de autenticação externos são afetados. A gravidade é média, pois também requer que o provedor de autenticação externo apresente comportamento inadequado. Alguns provedores OIDC conhecidos facilitam a permissão acidental de alterações de e-mail não verificadas.
Recomendações
Para versões anteriores à 3.5.18, atualize para a versão 3.5.18 ou posterior.
Para versões anteriores à 4.0.14, atualize para a versão 4.0.14 ou posterior.
Para versões anteriores à 4.1.14, atualize para a versão 4.1.14 ou posterior.
Para versões anteriores à 4.2.6, atualize para a versão 4.2.6 ou posterior.
Exploit
Correção
Missing Authentication
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Mastodon