CSIRT Toscana Rilevate nuove vulnerabilità in Mattermost (AL01/250225/CSIRT-ITA)
Data:
27 Febbraio 2025 11:35
Impatto Sistemico
Critico (79.35)
Sintesi
Rilevate 5 vulnerabilità, di cui 3 con gravità “critica”, in Mattermost, piattaforma di collaborazione open-source progettata per la comunicazione interna di organizzazioni e aziende. Tali vulnerabilità, qualora sfruttate, potrebbero permettere ad un utente malintenzionato di accedere ad informazioni sensibili e/o ottenere l’accesso arbitrario a file sui dispositivi target.
Note: un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità CVE-2025-25279 risulta disponibile in rete.
Tipologia
- Arbitrary File Read
- Information Disclosure
Prodotti e/o versioni affette
Mattermost
- Tutte le versioni precedenti alla 8.0.0-20250122165010-4ed702ccff4e
- 10.4.x, versione 10.4.1 e precedenti
- 9.11.x, versione 9.11.7 e precedenti
- 10.3.x, versione 10.3.2 e precedenti
- 10.2.x, versione 10.2.2 e precedenti
Azioni di mitigazione
In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni dei bollettini di sicurezza riportati nella sezione Riferimenti.
Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica”:
CVE
| CVE-ID | ||
|---|---|---|
| CVE-2025-20051 | CVE-2025-24490 | CVE-2025-25279 |
Riferimenti
- https://github.com/advisories/GHSA-5fwx-p6xh-vjrh
- https://github.com/advisories/GHSA-v469-7wp6-7cvp
- https://github.com/advisories/GHSA-p4jg-qmjv-9×26
Change log
| Versione | Note | Data |
|---|---|---|
| 1.0 | Pubblicato il 25-02-2025 | 25/02/2025 |
| 1.1 | Modificata la sezione “Prodotti e/o versioni affette” con l’aggiunta di tutte le versioni precedenti alla 8.0.0-20250122165010-4ed702ccff4e | 26/02/2025 |
| 1.2 | Aggiunta nota alla sezione “Sintesi” in seguito a rilevamento PoC per sfruttamento CVE-2025-25279. Ricalcolato l’Impatto Sistemico | 27/02/2025 |