🇰🇷 한글 설명
Mattermost MSTeams 플러그인 버전 2.1.0 미만 및 Mattermost Server 10.5.x에서 10.5.1 사이 버전에서 웹훅 비밀키 비교 시 상수 시간 비교(constant time comparison)를 수행하지 않는 취약점이 발견되었습니다. 공격자는 타이밍 공격을 통해 MSTeams 플러그인의 웹훅 비밀키를 탈취할 수 있습니다.
💡 쉬운 설명
비밀번호를 확인하는 과정에서 걸리는 시간 차이를 이용해 비밀번호를 알아내는 공격 방식입니다. 이를 통해 공격자가 시스템의 중요한 인증 키를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Mattermost Plugin MSTeams versions <2.1.0 and Mattermost Server versions 10.5.x <=10.5.1 with the MS Teams plugin enabled fail to perform constant time comparison on a MSTeams plugin webhook secret which allows an attacker to retrieve the webhook secret of the MSTeams plugin via a timing attack during webhook secret comparison.
📍 영향받는 시스템
Mattermost MSTeams Plugin < 2.1.0, Mattermost Server 10.5.x <= 10.5.1
⚔️ 공격 벡터
타이밍 공격(Timing Attack)을 통한 웹훅 비밀키 탈취
🛡️ 대응 방법
Mattermost MSTeams 플러그인을 2.1.0 이상으로, Mattermost Server를 최신 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Mattermost Server 및 MSTeams 플러그인의 버전이 취약한 범위 내에 있는지 확인하십시오.
mattermost --version && msteams-plugin-version 2>/dev/null || echo 'Check plugin version manually'