CSIRT Italien warnt vor kritische Schwachstellen in Mattermost

Die CSIRT Italien warnt in einem Sicherheitsbericht vor 3 kritische Schwachstellen in der Open-Source-Kollaborationsplattform Mattermost . Die Sicherheitslücken betreffen verschiedene Versionen, darunter Mattermost 10.4.x (bis einschließlich 10.4.1), 9.11.x (bis einschließlich 9.11.7), 10.3.x (bis einschließlich 10.3.2) und 10.2.x (bis einschließlich 10.2.2).

Die identifizierten Schwachstellen ermöglichen es Angreifern, unter anderem Arbitrary File Read und SQL-Injection-Angriffe durchzuführen. So könnten böswillige Nutzer auf sensible Informationen zugreifen oder beliebige Dateien auf den Zielsystemen lesen, indem sie speziell präparierte Import-Archive in den Boards-Funktionen nutzen oder durch unsichere SQL-Abfragen Daten aus der Datenbank extrahieren.

Für die kritischen Schwachstellen (CVE-2025-20051, CVE-2025-24490 und CVE-2025-25279) empfiehlt CSIRT Italia in Übereinstimmung mit den Sicherheitsbulletins des Herstellers dringend, auf neuere Versionen zu aktualisieren. Betroffene Anwender sollten auf Mattermost-Versionen 10.5.0, 10.4.2, 9.11.8, 10.3.3, 10.2.3 oder höher wechseln bzw. alternativ das Mattermost Boards Plugin auf Version 9.0.5 oder höher aktualisieren.

Tags :

Related Posts

Zero-Day-Schwachstelle in PAN-OS: Authentifizierungsumgehung durch Path Confusion

Ein Sicherheitsforscherteam von Assetnote hat eine kritische Schwachstelle in der PAN-OS Management-Schnittstelle von Palo Alto Networks entdeckt, die es Angreifern ermöglicht, die Authentifizierung zu umgehen (CVE-2025-0108). Der Fehler beruht auf einer Pfadverwirrung zwischen Nginx und Apache, bei der die unterschiedlich interpretierte URL zu einem Authentifizierungsfehler führt. Konkret wird ein Header, der in Nginx korrekt gesetzt wird, durch die doppelte URL-Dekodierung in Apache manipuliert, sodass schlussendlich der Schutzmechanismus aufgehoben wird und sensible administrative Funktionen ohne Login aufgerufen werden können.

Read More

CVE-2022-31631: PDO::quote() in PDO_SQLite führt zu SQL Injection

Eine kritische Sicherheitslücke (CVE-2022-31631) in PHPs PDO_SQLite-Komponente wurde veröffentlicht. In betroffenen PHP-Versionen (8.0.x vor 8.0.27, 8.1.x vor 8.1.15 und 8.2.x vor 8.2.2) kann die Funktion PDO::quote() bei der Verarbeitung von benutzerdefinierten, überlangen Strings einen unzureichend zitierten String zurückliefern – konkret lediglich ein einzelnes Apostroph.

Read More

Diverese Privilegieneskalationslücken in Atos Eviden IDPKI veröffentlicht

Eviden PSIRT hat ein Sicherheitsbulletin veröffentlicht, in dem drei Privilegieneskalationslücken in der IDPKI-Implementierung aufgezeigt werden. Die Schwachstellen, dokumentiert als CVE-2024-39327, CVE-2024-39328 und CVE-2024-51505, erlauben es einem internen Benutzer mit hohen Rechten, seine Befugnisse zu überschreiten und auf vertrauliche interne Daten zuzugreifen – ohne dabei jedoch den privaten Schlüssel der Zertifizierungsstelle zu gefährden. Die Sicherheitslücken werden als kritisch eingestuft und sollten umgehend gepatcht werden.

Read More