PT-2024-28554 · Mattermost · Mattermost Desktop App

Spark · Publicado 2024-09-15 · Atualizado 2024-09-22 · CVE-2024-39613

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Aplicativo Mattermost para desktop, versões <=5.8.0

Descrição

O aplicativo Mattermost para desktop não especifica um caminho absoluto ao procurar pelo arquivo cmd.exe, permitindo que um invasor local, capaz de colocar um arquivo cmd.exe na pasta “Downloads” do usuário, provoque a execução remota de código naquela máquina. Um invasor local pode explorar essa vulnerabilidade colocando um arquivo cmd.exe malicioso na pasta Downloads, levando à execução remota de código.

Recomendações

Para as versões do aplicativo Mattermost Desktop <=5.8.0, atualize para a versão 5.9.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à pasta Downloads para minimizar o risco de exploração.

Correção

Uncontrolled Search Path Element

Enumeração de Fraquezas

CWE-427

Identificadores relacionados

CVE-2024-39613

GHSA-WJ4J-QC2M-FGH7

Produtos afetados

Mattermost Desktop App

Referências · 11

• https://github.com/mattermost/desktop · Nota
• https://t.me/cvedetector/5715 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1835630752714600941 · Publicação no Twitter
• https://twitter.com/cracbot/status/1837371234918748552 · Publicação no Twitter
• https://mattermost.com/security-updates · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-39613 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-wj4j-qc2m-fgh7 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1835573107932668057 · Publicação no Twitter
• https://docs.mattermost.com/about/desktop-app-changelog.html · Nota
• https://osv.dev/vulnerability/CVE-2024-39613 · Aviso do Fabricante
• https://twitter.com/Hossted_OSS/status/1838085612642947420 · Publicação no Twitter