結論
この脆弱性は、Mattermostの特定のバージョンにおいて、機密設定フィールドが適切に処理されないことに起因します。影響を受けるユーザーは、サポートパケットにアクセスできる攻撃者によってTURNサーバーの認証情報が漏洩する可能性があります。対策として、影響を受けるバージョンのアップデートを推奨します。
この記事の要点
- Mattermostの特定のバージョンに脆弱性が存在
- 機密設定フィールドが適切にサニタイズされていない
- TURNサーバーの認証情報が漏洩する可能性
- CVSSスコアは7.6
- 影響を受けるバージョンは11.5.x、10.11.x、11.4.x
脆弱性の概要
Mattermostのバージョン11.5.x（11.5.1以下）、10.11.x（10.11.13以下）、11.4.x（11.4.3以下）は、Mattermost Callsプラグイン内の機密設定フィールドを適切にサニタイズできていません。このため、サポートパケットにアクセスできる攻撃者が、エクスポートされたプラグイン設定に含まれる平文の値を通じてTURNサーバーの認証情報を取得することが可能です。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-6347 |
| 公開日 | 2026-05-18T09:16:24.143000Z |
| 対象システム | Mattermost 11.5.x <= 11.5.1, 10.11.x <= 10.11.13, 11.4.x <= 11.4.3 |
| 脆弱性の種類 | 情報漏洩 |
| CVSSスコア | 7.6 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 自身のMattermostのバージョンを確認する
- 影響を受けるバージョンを使用している場合は、アップデートを行う
- サポートパケットへのアクセス権を持つユーザーを制限する
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-6347
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-6347
- responsibledisclosure@mattermost.com：https://mattermost.com/security-updates
対象システムと影響範囲
影響を受けるのは、Mattermostのバージョン11.5.x（11.5.1以下）、10.11.x（10.11.13以下）、11.4.x（11.4.3以下）を使用しているユーザーです。
被害内容
この脆弱性が悪用された場合、攻撃者はTURNサーバーの認証情報を取得し、システムへの不正アクセスを試みる可能性があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
Mattermostの最新バージョンにアップデートすることが推奨されます。具体的な修正バージョンは、Mattermostの公式サイトで確認してください。
FAQ
Q1. どの製品が影響を受けますか？
Mattermostのバージョン11.5.x、10.11.x、11.4.xが影響を受けます。
Q2. まず何をすればよいですか？
自身のMattermostのバージョンを確認し、影響を受ける場合はアップデートを行ってください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント