🇰🇷 한글 설명
Mattermost의 Add Channel Member API에서 팀 멤버십 권한 검증이 제대로 이루어지지 않는 취약점입니다. 이로 인해 특정 팀의 사용자가 API 엔드포인트를 통해 다른 팀의 사용자 메타데이터 및 채널 멤버십 정보에 접근할 수 있습니다.
💡 쉬운 설명
우리 팀원이 아닌 다른 팀의 정보가 몰래 노출될 수 있는 보안 허점이 발견되었습니다. 공격자가 API를 이용해 다른 팀의 사용자 명단이나 상세 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Mattermost versions 10.11.x <= 10.11.3, 10.5.x <= 10.5.11 fail to properly validate team membership permissions in the Add Channel Member API which allows users from one team to access user metadata and channel membership information from other teams via the API endpoint
📍 영향받는 시스템
Mattermost 10.11.x <= 10.11.3, 10.5.x <= 10.5.11
⚔️ 공격 벡터
권한 검증이 미흡한 API 엔드포인트를 통한 비정상적인 데이터 요청
🛡️ 대응 방법
Mattermost를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 해당 버전이 설치되어 있음을 의미합니다.
curl -s https://<your-mattermost-url>/api/v4/version | grep -E '"version": "(10\.11\.[0-3]|10\.5\.[0-9]{1,2})"'