-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Mattermost
Advisory ID     : NCSC-2025-0378
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2025-12419, CVE-2025-12421
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Incorrect Implementation of Authentication Algorithm
Uitgiftedatum   : 20251128
Toepassing      : Mattermost Mattermost
Versie(s)       :
Platform(s)     :

Beschrijving
   Mattermost heeft kwetsbaarheden verholpen in versies 11.0.x (tot en
   met 11.0.3), 10.12.x (tot en met 10.12.1), 10.11.x (tot en met
   10.11.4) en 10.5.x (tot en met 10.5.12).

   De kwetsbaarheden stellen een geauthenticeerde aanvaller in staat om
   een account over te nemen via een zorgvuldig vervaardigd e-mailadres
   tijdens het authenticatieproces. Dit vereist specifieke instellingen
   die geconfigureerd moeten zijn, wat gebruikersaccounts bloot kan
   stellen aan ongeautoriseerde toegang. Daarnaast kan een
   geauthenticeerde aanvaller met teamcreatieprivileges de OAuth state
   token validatie misbruiken om een gebruikersaccount over te nemen
   door authenticatiegegevens te manipuleren, vooral als
   e-mailverificatie is uitgeschakeld.
   Voor deze laatste kwetsbaarheid moet de kwaadwillende beschikken over
   twee accounts, waarvan er een nog niet eerder ingelogd is geweest.
   Misbruik is hiermee ingewikkeld te realiseren.

Mogelijke oplossingen
   Mattermost heeft updates uitgebracht om de kwetsbaarheden te
   verhelpen. Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://mattermost.com/security-updates

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=rxPI
-----END PGP SIGNATURE-----