🇰🇷 한글 설명
Mattermost의 Slack 가져오기 과정에서 이메일 소유권 검증이 누락되는 취약점이 발견되었습니다. 공격자는 악성 Slack 데이터를 사용하여 임의의 이메일 도메인을 가진 인증된 사용자 계정을 생성할 수 있으며, 이를 통해 이메일 기반의 팀 접근 제한을 우회할 수 있습니다.
💡 쉬운 설명
Slack 데이터를 가져오는 과정에서 이메일 주소가 진짜인지 확인하지 않는 허점이 있습니다. 이를 악용하면 공격자가 가짜 이메일로 승인된 사용자인 척하며 회사 시스템에 몰래 들어올 수 있습니다.
🇺🇸 원문 (English)
Mattermost versions 10.10.x <= 10.10.2, 10.5.x <= 10.5.10, 10.11.x <= 10.11.2 fail to validate email ownership during Slack import process which allows attackers to create verified user accounts with arbitrary email domains via malicious Slack import data to bypass email-based team access restrictions
📍 영향받는 시스템
Mattermost versions 10.10.x <= 10.10.2, 10.5.x <= 10.5.10, 10.11.x <= 10.11.2
⚔️ 공격 벡터
조작된 Slack 데이터를 사용하여 이메일 소유권 검증을 우회하고 임의의 이메일로 계정 생성
🛡️ 대응 방법
취약점이 해결된 최신 버전의 Mattermost로 즉시 업데이트
🔧 검증 코드
출력된 버전이 취약한 범위(10.10.2 이하, 10.5.10 이하, 10.11.2 이하)에 해당하는지 확인
mattermost --version 2>/dev/null || curl -s http://localhost:8065/api/v4/system/ping | grep -oP '(?<="version":")[^"]+'