PT-2024-29675 · Mattermost · Mattermost

Juho Nurminen · Publicado 2024-04-26 · Atualizado 2024-06-05 · CVE-2024-4198

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.7

Baixa

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Mattermost 8.1.x a 8.1.11

Versões do Mattermost 9.5.x a 9.5.2

Versão 9.6.0 do Mattermost

Descrição

O problema decorre da falha na validação completa das alterações de função, permitindo que um invasor autenticado como administrador da equipe rebaixe usuários para convidados por meio de solicitações HTTP maliciosas.

Recomendações

Para as versões 8.1.x a 8.1.11 do Mattermost, atualize para a versão 8.1.12 ou posterior.

Para as versões 9.5.x a 9.5.2 do Mattermost, atualize para a versão 9.5.3 ou posterior.

Para a versão 9.6.0 do Mattermost, considere desativar a funcionalidade de alteração de função até que um patch esteja disponível.

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2024-4198

GHSA-5QX9-9FFJ-5R8F

GO-2024-2794

Produtos afetados

Mattermost

Referências · 12

• https://github.com/mattermost/mattermost · Nota
• https://github.com/mattermost/mattermost/commit/408ce4a82bb55ce27801f7044d9b3b49e82c47ed · Nota
• https://github.com/mattermost/mattermost/commit/3d6d8a7c1f7105558fe266a1b379859a4dba4e9b · Nota
• https://github.com/mattermost/mattermost/commit/fba5b8e348feada9b21290369c3598ccd5c04424 · Nota
• https://mattermost.com/security-updates · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1783811027643044277 · Publicação no Twitter
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-4198 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-4198 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-4198 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-2794 · Aviso do Fabricante
• https://github.com/advisories/GHSA-5qx9-9ffj-5r8f · Nota
• https://osv.dev/vulnerability/GHSA-5qx9-9ffj-5r8f · Aviso do Fabricante