リモートホストにインストールされている Mattermost Server のバージョンは、8.1.9、9.2.5、9.3.1、9.4.2、 9.5.0 より前です。 したがって、MMSA-2023-00285 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - パブリックチャネルのメンバーではないユーザーが投稿をフェッチできるようにパブリックチャネルの投稿をフェッチするときに、Mattermost がコンプライアンスエクスポートが有効かどうかのチェックに失敗します。このため、コンプライアンスエクスポートで監査されません。(CVE-2024-1887)

  - Mattermost は、アーカイブされたチャネルで、投稿に添付されたファイルのアクセスを適切に制限できません。このため、[Allow users to view archived channels] (ユーザーにアーカイブされたチャネルの表示を許可) オプションが無効になっていても、メンバーはアーカイブされたチャネルのファイルにアクセスできてしまいます。(CVE-2024-23488)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Mattermost Server < 8.1.9 / 9.2.x < 9.2.5 / 9.3.x < 9.3.1 / 9.4.x < 9.4.2、9.5.0の複数の脆弱性 (MMSA-2023-00285)

medium Nessus プラグイン ID 191689

バージョン 1.0