🇰🇷 한글 설명
Mattermost에서 다른 팀의 게스트를 초대할 때 'invite_guest' 권한을 제대로 확인하지 않는 취약점이 발견되었습니다. 이로 인해 게스트 초대 권한이 없는 일반 멤버라도 이미 서버 내 다른 팀에 소속된 게스트라면 자신의 팀으로 초대할 수 있습니다.
💡 쉬운 설명
원래 게스트를 초대할 권한이 없는 사용자도, 이미 다른 팀에 등록된 손님이라면 마음대로 자기 팀에 불러올 수 있는 보안 허점입니다. 권한 관리가 제대로 이루어지지 않아 팀 운영 규칙이 무너질 수 있습니다.
🇺🇸 원문 (English)
Mattermost fails to check the "invite_guest" permission when inviting guests of other teams to a team, allowing a member with permissions to add other members but not to add guests to add a guest to a team as long as the guest was already a guest in another team of the server
📍 영향받는 시스템
Mattermost (invite_guest 권한 체크 로직 결함이 있는 버전)
⚔️ 공격 벡터
권한이 제한된 사용자가 이미 서버에 등록된 다른 팀의 게스트를 자신의 팀으로 초대 시도
🛡️ 대응 방법
Mattermost를 최신 보안 패치가 적용된 버전으로 업데이트하여 권한 검증 로직을 수정하십시오.
🔧 검증 코드
출력된 버전 번호가 취약점이 해결된 최신 패치 버전인지 공식 보안 공지(Advisory)와 비교하여 확인하십시오.
curl -s http://<mattermost-url>/api/v4/system/version | jq -r '.version'