远程主机上安装的 Mattermost Server 版本低于 9.5.9、9.10.2 或 9.11.1。因此，该主机受到多个漏洞的影响。

  - Mattermost 版本 9.10.x <= 9.10.2, 9.11.x <= 9.11.1, 9.5.x <= 9.5.9 无法审查前端中用于重定向的用户输入，这允许一键执行客户端路径遍历，导致出现 CSRF。(CVE-2024-46872)

  - Mattermost 版本 9.10.x <= 9.10.2、9.11.x <= 9.11.1 和 9.5.x <= 9.5.9 无法防止在 Playbooks 中显示详细的错误消息，使得攻击者可生成大型响应并造成放大的 GraphQL 响应，进而可通过向 Playbooks 发送特别构建的请求导致应用程序崩溃。(CVE-2024-47401)

  - Mattermost 版本 9.10.x <= 9.10.2、9.11.x <= 9.11.1、9.5.x <= 9.5.9 无法检查集成操作中的消息来源是否与原始帖子元数据匹配，这允许经身份验证的用户删除帖子中的任意发布。(CVE-2024-50052)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Mattermost Server 版本舊於 9.5.9、9.10.2 或 9.11.1。因此，它受到多個弱點影響。

  - Mattermost 版本 9.10.x <= 9.10.2、9.11.x <= 9.11.1、9.5.x <= 9.5.9 無法清理前端中用於重新導向的使用者輸入，允許攻擊者按一下即可造成用戶端路徑遊走，進而在 Playbooks 中導致發生 CSRF (CVE-2024-46872)

  - Mattermost 版本 9.10.x <= 9.10.2、9.11.x <= 9.11.1 和 9.5.x <= 9.5.9 無法防止詳細的錯誤訊息顯示在 Playbooks 中，攻擊者可藉此產生大型回應並造成 GraphQL 回應放大，進而可透過將特製的要求傳送至 Playbooks 來造成應用程式損毀。(CVE-2024-47401)

  - Mattermost 版本 9.10.x <= 9.10.2、9.11.x <= 9.11.1、9.5.x <= 9.5.9 無法檢查整合動作中的訊息來源是否與原始張貼詮釋資料相符，這可讓經驗證的使用者刪除任意貼文。(CVE-2024-50052)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

The version of Mattermost Server installed on the remote host is prior to 9.5.9, 9.10.2, or 9.11.1. It is, therefore, affected by multiple vulnerabilities.

  - Mattermost versions 9.10.x <= 9.10.2, 9.11.x <= 9.11.1, 9.5.x <= 9.5.9 fail to sanitize user inputs in the     frontend that are used for redirection which allows for a one-click client-side path traversal that is     leading to CSRF in Playbooks (CVE-2024-46872)

  - Mattermost versions 9.10.x <= 9.10.2, 9.11.x <= 9.11.1 and 9.5.x <= 9.5.9 fail to prevent detailed error     messages from being displayed in Playbooks which allows an attacker to generate a large response and cause     an amplified GraphQL response which in turn could cause the application to crash by sending a specially     crafted request to Playbooks. (CVE-2024-47401)

  - Mattermost versions 9.10.x <= 9.10.2, 9.11.x <= 9.11.1, 9.5.x <= 9.5.9 fail to check that the origin of     the message in an integration action matches with the original post metadata which allows an authenticated     user to delete an arbitrary post. (CVE-2024-50052)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / openSUSE 15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:3950-1 advisory.

    - Update to version 0.0.20241104T154416 2024-11-04T15:44:16Z.
      Refs jsc#PED-11136       Go CVE Numbering Authority IDs added or updated with aliases:
      * GO-2024-3233 CVE-2024-46872 GHSA-762g-9p7f-mrww
      * GO-2024-3234 CVE-2024-47401 GHSA-762v-rq7q-ff97
      * GO-2024-3235 CVE-2024-50052 GHSA-g376-m3h3-mj4r
      * GO-2024-3237 CVE-2024-0133 GHSA-f748-7hpg-88ch
      * GO-2024-3239 CVE-2024-0132 GHSA-mjjw-553x-87pq
      * GO-2024-3240 CVE-2024-10452 GHSA-66c4-2g2v-54qw
      * GO-2024-3241 CVE-2024-10006 GHSA-5c4w-8hhh-3c3h
      * GO-2024-3242 CVE-2024-10086 GHSA-99wr-c2px-grmh
      * GO-2024-3243 CVE-2024-10005 GHSA-chgm-7r52-whjj

    - Update to version 0.0.20241101T215616 2024-11-01T21:56:16Z.
      Refs jsc#PED-11136       Go CVE Numbering Authority IDs added or updated with aliases:
      * GO-2024-3244 CVE-2024-50354 GHSA-cph5-3pgr-c82g
      * GO-2024-3245 CVE-2024-39720
      * GO-2024-3246 CVE-2024-8185 GHSA-g233-2p4r-3q7v

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2024:3950-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - バージョン 0.0.20241104T154416 2024-11-04T15:44:16Z に更新してください。
      参照 jsc#PED-11136 Go CVE 番号付け権限 ID のエイリアスでの追加または更新:
      * GO-2024-3233 CVE-2024-46872 GHSA-762g-9p7f-mrww
      * GO-2024-3234 CVE-2024-47401 GHSA-762v-rq7q-ff97
      * GO-2024-3235 CVE-2024-50052 GHSA-g376-m3h3-mj4r
      * GO-2024-3237 CVE-2024-0133 GHSA-f748-7hpg-88ch
      * GO-2024-3239 CVE-2024-0132 GHSA-mjjw-553x-87pq
      * GO-2024-3240 CVE-2024-10452 GHSA-66c4-2g2v-54qw
      * GO-2024-3241 CVE-2024-10006 GHSA-5c4w-8hhh-3c3h
      * GO-2024-3242 CVE-2024-10086 GHSA-99wr-c2px-grmh
      * GO-2024-3243 CVE-2024-10005 GHSA-chgm-7r52-whjj

    - バージョン 0.0.20241101T215616 2024-11-01T21:56:16Z に更新してください。
      参照 jsc#PED-11136 Go CVE 番号付け権限 ID のエイリアスでの追加または更新:
      * GO-2024-3244 CVE-2024-50354 GHSA-cph5-3pgr-c82g
      * GO-2024-3245 CVE-2024-39720
      * GO-2024-3246 CVE-2024-8185 GHSA-g233-2p4r-3q7v

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Mattermost Server のバージョンは、9.5.9、9.10.2、または 9.11.1 より前です。したがって、複数の脆弱性の影響を受けます。

  - Mattermost バージョン 9.10.x <= 9.10.2、9.11.x <= 9.11.1、9.5.x <= 9.5.9 では、リダイレクトに使用されるユーザー入力をフロントエンドで適切にサニタイズしていないため、プレイブックでの CSRF を引き起こすワンクリックのクライアントサイドのパストラバーサルが生じる可能性があります。(CVE-2024-46872)

  - Mattermost バージョン 9.10.x <= 9.10.2、9.11.x <= 9.11.1 および 9.5.x <= 9.5.9 は、詳細なエラーメッセージがプレイブックに表示されるのを防ぐことができません。これにより、攻撃者は大きな応答を生成し、GraphQL 応答を増幅させて、さらに、特別に細工されたリクエストをプレイブックに送信することで、アプリケーションをクラッシュさせる可能性があります。(CVE-2024-47401)

  - Mattermost バージョン 9.10.x <= 9.10.2、9.11.x <= 9.11.1、9.5.x <= 9.5.9 は、統合アクションのメッセージの生成元が元の投稿メタデータと一致することを確認していません。これにより、認証されたユーザーが任意の投稿を削除する可能性があります。(CVE-2024-50052)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
210010	Mattermost Server 9.5.x < 9.5.9 / 9.10.x < 9.10.2 / 9.11.x < 9.11.1 多个漏洞	Nessus	CGI abuses	2024/10/31	2024/12/6	medium
210010	Mattermost Server 9.5.x < 9.5.9 / 9.10.x < 9.10.2 / 9.11.x < 9.11.1 多個弱點	Nessus	CGI abuses	2024/10/31	2024/12/6	medium
210010	Mattermost Server 9.5.x < 9.5.9 / 9.10.x < 9.10.2 / 9.11.x < 9.11.1 Multiple Vulnerabilities	Nessus	CGI abuses	2024/10/31	2024/12/6	medium
210710	SUSE SLES15 / openSUSE 15 Security Update : govulncheck-vulndb (SUSE-SU-2024:3950-1)	Nessus	SuSE Local Security Checks	2024/11/9	2025/3/27	high
210710	SUSE SLES15 / openSUSE 15 セキュリティ更新 : govulncheck-vulndb (SUSE-SU-2024:3950-1)	Nessus	SuSE Local Security Checks	2024/11/9	2025/3/27	high
210010	Mattermost Server 9.5.x < 9.5.9 / 9.10.x < 9.10.2 / 9.11.x < 9.11.1 複数の脆弱性	Nessus	CGI abuses	2024/10/31	2024/12/6	medium

偵測

搜尋 Plugin

medium

medium

medium

high

high

medium