Mattermost パス・トラバーサル (Path Traversal) の脆弱性 github.com/mattermost/mattermost-server において

このパス・トラバーサル脆弱性は、攻撃者がMattermost Serverのファイルシステムを不正に操作することを可能にします。攻撃者は、脆弱性を悪用することで、設定ファイル、データベースファイル、その他の機密情報を含むファイルを読み出す可能性があります。これにより、認証情報の漏洩、システム設定の変更、さらにはサーバーの完全な制御の奪取といった深刻な被害が発生する可能性があります。攻撃者は、この脆弱性を利用して、他のシステムへの攻撃の足がかりとしてMattermost Serverを利用する可能性も考えられます。

Organizations utilizing Mattermost Server for internal communication, particularly those running older, unpatched versions, are at risk. Shared hosting environments where Mattermost is installed alongside other applications are also vulnerable, as a compromise of Mattermost could potentially impact other hosted services. Teams relying on Mattermost for sensitive data storage should prioritize patching.

• linux / server:

journalctl -u mattermost -g 'path traversal'

• generic web:

curl -I 'http://mattermost.example.com/../../../../etc/passwd' # Check for 200 OK response

1. 2025-09-24Disclosure

   disclosure

1. 予約済み2025-08-15
2. 公開日2025-09-24
3. 更新日2026-03-03
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、Mattermost Serverを9.11.18+incompatibleのバージョンにアップデートすることです。アップデートがすぐに適用できない場合は、一時的な緩和策として、Mattermost Serverのファイルシステムへのアクセスを制限するファイアウォールルールを実装することを検討してください。また、ファイルアクセスログを監視し、不正なアクセスがないか確認することも重要です。WAF（Web Application Firewall）を使用している場合は、パス・トラバーサル攻撃を検出・ブロックするようにルールを設定してください。