🇰🇷 한글 설명
Mattermost의 특정 버전에서 시스템 관리자(System Manager) 역할에 대한 접근 제어가 제대로 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 시스템 관리자 권한을 가진 인증된 사용자가 시스템 콘솔에서 특정 팀에 대한 접근을 '권한 없음'으로 설정하더라도, API 요청을 통해 해당 팀의 상세 정보를 조회할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 원래는 볼 수 없도록 차단된 팀의 정보를 몰래 훔쳐볼 수 있는 보안 허점이 발견되었습니다. 설정으로 접근을 막아두어도 API라는 통로를 통해 우회하여 정보를 확인할 수 있는 문제입니다.
🇺🇸 원문 (English)
Mattermost versions 10.7.x <= 10.7.0, 10.5.x <= 10.5.3, 9.11.x <= 9.11.12 fails to properly enforce access control restrictions for System Manager roles, allowing authenticated users with System Manager privileges to view team details they should not have access to via direct API requests to team endpoints, even when explicitly configured with 'No access' to Teams in the System Console.
📍 영향받는 시스템
Mattermost 10.7.x <= 10.7.0, 10.5.x <= 10.5.3, 9.11.x <= 9.11.12
⚔️ 공격 벡터
인증된 시스템 관리자가 팀 엔드포인트로 직접 API 요청을 보내는 방식
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Mattermost로 업데이트를 수행하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위(10.7.0 이하, 10.5.3 이하, 9.11.12 이하)에 해당하면 취약한 상태입니다.
curl -s http://<mattermost-url>/api/v4/system/version | grep -E '10\.7\.[0-9]|10\.5\.[0-9]|9\.11\.[0-9]'