CVE-2025-9079

چکیده

یک آسیب‌پذیری در Mattermost  نسخه های 10.8.x تا 10.8.3، 10.5.x تا 10.5.8 ، 9.11.xتا 9.11.17، 10.10.x تا 10.10.1 و 10.9.x تا 10.9.3 به دلیل عدم اعتبارسنجی پیکربندی مسیر دایرکتوری import  (فرآیند وارد کردن پلاگین‌ها) شناسایی شده است. این ضعف به کاربران ادمین اجازه می‌دهد با دستکاری مسیر دایرکتوری،  پلاگین‌های مخرب را در دایرکتوری prepackaged plugins (پلاگین‌های از پیش بسته‌بندی‌شده) آپلود کرده و به اجرای کد از راه دور (RCE) دست یابند.

توضیحات

آسیب‌پذیری CVE-2025-9079 در Mattermost، پلتفرم همکاری تیمی، ناشی از عدم محدودیت مناسب در نام مسیر است که مطابق با CWE-22 (Path Traversal) طبقه‌بندی می‌شود. این ضعف امنیتی به کاربران ادمین اجازه می‌دهد با دستکاری مسیر دایرکتوری import (فرآیند وارد کردن پلاگین‌ها یا فایل‌ها به سیستم)، محدودیت‌های امنیتی پلاگین را دور زده و پلاگین‌های مخرب را به دایرکتوری prepackaged plugins (پلاگین‌های از پیش بسته‌بندی‌شده) آپلود کنند. بهره‌برداری از این ضعف می‌تواند منجر به اجرای کد از راه دور (RCE) شود که در نهایت امکان اجرای کد دلخواه(ACE)  روی سیستم قربانی را برای مهاجم فراهم می‌کند.

در فرآیند import، Mattermost مسیر دایرکتوری را اعتبارسنجی نمی‌کند و مهاجم می‌تواند با تکنیک پیمایش مسیر (path traversal) به دایرکتوری‌های محدود دسترسی پیدا کند و پلاگین مخرب نصب نماید. این ضعف از طریق شبکه با پیچیدگی بالا، نیاز به دسترسی ادمین و پیکربندی خاص و بدون تعامل کاربر قابل بهره‌برداری است.

این آسیب پذیری می‌تواند منجر به نقض شدید محرمانگی با دسترسی به داده‌های سازمانی، یکپارچگی با اجرای کد مخرب و در دسترس‌پذیری با اختلال در سرویس Mattermost شود. Mattermost این ضعف را در نسخه‌های جدید پچ کرده است.

CVSS

 لیست محصولات آسیب پذیر

لیست محصولات بروز شده

 استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Mattermost را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

 نتیجه گیری

این آسیب‌پذیری در Mattermost، به دلیل امکان اجرای کد دلخواه، تهدیدی جدی برای پلتفرم‌های همکاری تیمی سازمانی محسوب می شود. برای کاهش ریسک و جلوگیری از بهره‌برداری، اقدامات زیر توصیه می‌شود:

• به‌روزرسانی فوری: Mattermost را به نسخه‌های 10.11.0، 10.8.4، 10.5.9، 9.11.18، 10.10.2 یا 10.9.4 به‌روزرسانی کنید تا محدودیت‌های امنیتی پلاگین (plugin security restrictions) اعمال شود.
• محدودسازی دسترسی ادمین: دسترسی ادمین را فقط به کاربران قابل اعتماد محدود کنید و از احراز هویت چندعاملی (MFA) برای حساب‌های ادمین استفاده نمایید.
• اعتبارسنجی مسیر: تمام مسیرهای دایرکتوری import را قبل از پردازش اعتبارسنجی کنید.
• نظارت بر آپلودها: آپلودهای پلاگین را نظارت کنید و از ابزارهای امنیتی برای اسکن پلاگین‌های مخرب بهره ببرید.
• محدودسازی دسترسی شبکه: دسترسی به Mattermost را با فایروال محدود کنید و فقط از IPهای مجاز اجازه دهید.
• آموزش و آگاهی: مدیران را در مورد ریسک اجرای کد از راه دور و اهمیت به‌روزرسانی Mattermost آگاه کنید.

اجرای این اقدامات، ریسک اجرای کد از راه دور (RCE) را به حداقل رسانده و امنیت سیستم های مبتنی بر Mattermost را به شکل قابل توجهی افزایش می دهد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
این آسیب‌پذیری امکان ورود غیرمجاز به سیستم را از طریق دسترسی ادمین به فرآیند import پلاگین‌ها فراهم می‌کند. مهاجم می‌تواند با دستکاری مسیر دایرکتوری، محدودیت‌های امنیتی را دور زده و پلاگین مخرب وارد سیستم نماید.

Execution (TA0002)
اجرای کد دلخواه (RCE) روی سرور Mattermost با بهره‌برداری از پلاگین‌های مخرب آپلود شده، بدون نیاز به تعامل مستقیم کاربر، انجام می‌شود.

Persistence (TA0003)
مهاجم می‌تواند با نصب پلاگین مخرب، کد مخرب را به طور مداوم در سیستم نگه دارد و اجرای آن را حتی پس از ریبوت سرور تضمین کند.

Privilege Escalation (TA0004)
برای بهره‌برداری از آسیب‌پذیری نیاز به دسترسی ادمین است؛ با این حال، پس از بهره‌برداری، مهاجم می‌تواند کنترل کامل سیستم و داده‌ها را کسب کند.

Defense Evasion (TA0005)
با دستکاری مسیر import ، محدودیت‌های امنیتی پیش‌فرض Mattermost دور زده می‌شوند و پلاگین‌های مخرب بدون شناسایی نصب می‌شوند.

Credential Access (TA0006)
اجرای کد در سرور می‌تواند به فایل‌های پیکربندی، توکن‌ها، اطلاعات کاربران و سایر اسرار سیستم دسترسی یابد و آن‌ها را استخراج کند.

Discovery (TA0007)
مهاجم می‌تواند نسخه Mattermost، مسیرهای دایرکتوری، پلاگین‌های نصب‌شده، دسترسی‌های فایل‌سیستمی و توپولوژی شبکه داخلی را شناسایی کند تا مراحل بعدی بهره‌برداری را برنامه‌ریزی نماید.

Lateral Movement (TA0008)
در صورت وجود سرورهای Mattermost دیگر یا شبکه‌های متصل، مهاجم می‌تواند با استفاده از توکن‌ها، SSH keys  یا سایر اعتبارنامه های به‌دست‌آمده به سامانه‌های مجاور دسترسی پیدا کند.

Collection (TA0009)
گردآوری اطلاعات شامل پلاگین‌ها، فایل‌های پیکربندی، داده‌های سازمانی، لاگ‌ها و اطلاعات کاربری است که در مسیرهای سرور یا پایگاه داده Mattermost ذخیره شده‌اند.

Exfiltration (TA0010)
خروج داده‌ها می‌تواند از طریق کانال‌های شبکه، APIهای Mattermost یا مسیرهای موجود در سیستم انجام شود و به‌صورت زمان‌بندی‌شده یا تکه‌تکه برای جلوگیری از شناسایی باشد.

Command and Control (TA0011)
در صورت نصب پایدار پلاگین مخرب، مهاجم می‌تواند کانال ارتباطی با سرور برقرار کرده، دستورات را ارسال و نتایج را دریافت کند. در سناریوهای کوتاه‌مدت، بهره‌برداری بدون کانال دائم نیز انجام می‌شود.

Impact (TA0040)
اجرای کد دلخواه باعث نقض محرمانگی (دسترسی به داده‌های سازمانی)، یکپارچگی (تغییر داده‌ها یا عملکرد سیستم) و در دسترس‌پذیری (اختلال یا توقف سرویس Mattermost) می‌شود.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-9079
2. https://www.cvedetails.com/cve/CVE-2025-9079/
3. https://mattermost.com/security-updates
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-9079
5. https://vuldb.com/?id.325101
6. https://nvd.nist.gov/vuln/detail/CVE-2025-9079
7. https://cwe.mitre.org/data/definitions/22.html