🇰🇷 한글 설명
Mattermost의 websocket 이벤트 브로드캐스트 기능에 권한 검증 결함이 존재하여, 게스트 권한을 가진 공격자가 자신이 속하지 않은 비공개 팀의 권한 변경 알림을 관찰할 수 있습니다. 이는 인증된 사용자가 팀 또는 채널 멤버십에 따라 제한되어야 할 이벤트를 무단으로 감시할 수 있게 만듭니다.
💡 쉬운 설명
게스트 권한을 가진 사용자가 자신이 가입하지 않은 비공개 팀의 설정 변경 알림을 몰래 볼 수 있는 보안 구멍입니다. 공격자는 웹소켓 연결을 통해 팀 멤버십과 무관하게 권한 변경 이벤트를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Mattermost versions 11.6.x <= 11.6.1, 11.5.x <= 11.5.4, 10.11.x <= 10.11.15, 10.11.x <= 10.11.16 fail to restrict role_updated websocket event broadcasts to members of the affected team or channel which allows an authenticated attacker with guest-level access to observe permission scheme change notifications for private teams they are not a member of via the websocket connection.. Mattermost Advisory ID: MMSA-2026-00616
📍 영향받는 시스템
Mattermost 11.6.x (<=11.6.1), 11.5.x (<=11.5.4), 10.11.x (<=10.11.15, <=10.11.16)
⚔️ 공격 벡터
인증된 게스트 사용자가 websocket 연결을 통해 비공개 팀의 role_updated 이벤트를 구독 및 관찰
🛡️ 대응 방법
Mattermost 공식 보안 권고사항(MMSA-2026-00616)에 따라 지정된 최신 버전으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 11.6.1, 11.5.4, 10.11.15 또는 10.11.16 이하인 경우 취약한 버전으로 판단
curl -s http://localhost:8065/api/v4/system/ping 2>/dev/null | grep -oP '"version":"\K[^"]+'