プラットフォーム
mattermost
コンポーネント
mattermost
修正版
10.11.13
8.0.0-20260316060126-bc1a2b34b1f9
Mattermostの接続ワークスペース機能において、ユーザーが正しい接続ワークスペースに正しく紐づいているか検証する処理に不備が見つかりました。この脆弱性を悪用されると、攻撃者は接続ワークスペースAPIを通じて、ローカルユーザーの表示ステータスを不正に変更する可能性があります。影響を受けるバージョンはMattermost 10.11.0から11.5.0です。この問題はMattermost 10.11.13で修正されています。
Mattermostは、CVE-2026-27769に関するセキュリティアドバイザリ（MMSA-2026-00603）を発行しました。この脆弱性は、Mattermost 10.11.xのバージョン10.11.13以前に影響します。これにより、Connected Workspaces機能経由で接続された悪意のあるリモートサーバーは、ローカルユーザーの表示ステータスを変更できます。この欠点は、正しいConnected Workspace内のユーザーの所有権の不十分な検証にあります。これにより、ユーザーのステータス情報の操作につながる可能性があり、Mattermostプラットフォーム内のユーザーの可用性とアクティビティの認識に影響を与える可能性があります。この脆弱性の重大度は高く評価され、CVSS 2.7スコアは10.11.13です。
Connected Workspaces機能経由で接続されたサーバーにアクセスできる攻撃者は、この脆弱性を悪用する可能性があります。攻撃者は、Connected Workspaces APIにリクエストを送信して、ローカルユーザーのステータスを変更し、実際にはそうでない場合でも、不在または利用可能に見せることができます。これは、他のユーザーを欺いたり、通信を妨害したり、悪意のある活動を隠蔽したりするために使用できます。悪用の複雑さは比較的低く、接続されたサーバーへのアクセスとAPIの知識が必要です。悪用の可能性は、Connected Workspaces機能の普及と、侵害されたサーバーの可用性によって異なります。
エクスプロイト状況
EPSS
0.03% (9% パーセンタイル)
CISA SSVC
この脆弱性に対する主な軽減策は、Mattermostをバージョン10.11.13以降にアップグレードすることです。このバージョンには、Connected Workspaces内のユーザーの所有権を正しく検証するために必要な修正が含まれています。潜在的な攻撃からMattermostインスタンスを保護するために、できるだけ早くこのアップグレードを適用することを強くお勧めします。さらに、Connected Workspaces構成を確認して、信頼できるサーバーのみが接続されていることを確認してください。Connected Workspaces APIに関連する異常なアクティビティについて、Mattermostログを監視します。アップグレードは、最も効果的で推奨されるソリューションです。
Actualice Mattermost a la versión 10.11.13 o superior para mitigar la vulnerabilidad. Esta actualización corrige la falta de validación adecuada de la pertenencia al Connected Workspace, previniendo la manipulación del estado del usuario por parte de servidores remotos maliciosos.
脆弱性分析と重要アラートをメールでお届けします。
Connected Workspacesにより、複数のMattermostインスタンスがお互いに通信できるようになり、さまざまなチームや部門間のコラボレーションが容易になります。
システム管理ページにアクセスして、Mattermostのバージョンを確認できます。バージョンは、システム情報セクションに表示されます。
すぐにアップグレードできない場合は、Connected Workspaces APIへのアクセスを信頼できるサーバーのみに制限することを検討してください。
この脆弱性を検出するための特定のツールはありません。脆弱かどうかを判断する最良の方法は、Mattermostのバージョンを確認することです。
Mattermostのセキュリティアドバイザリ：MMSA-2026-00603で、この脆弱性に関する詳細情報を入手できます。
CVSS ベクトル