CVE-2024-25623

Mastodon is a free, open-source social network server based on ActivityPub. Prior to versions 4.2.7, 4.1.15, 4.0.15, and 3.5.19, when fetching remote statuses, Mastodon doesn't check that the response from the remote server has a `Content-Type` header value of the Activity Streams media type, which allows a threat actor to upload a crafted Activity Streams document to a remote server and make a Mastodon server fetch it, if the remote server accepts arbitrary user uploads. The vulnerability allows a threat actor to impersonate an account on a remote server that satisfies all of the following properties: allows the attacker to register an account; accepts arbitrary user-uploaded documents and places them on the same domain as the ActivityPub actors; and serves user-uploaded document in response to requests with an `Accept` header value of the Activity Streams media type. Versions 4.2.7, 4.1.15, 4.0.15, and 3.5.19 contain a fix for this issue.
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:*
cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:*
cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:*
cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:*

History

18 Dec 2024, 22:39

Type Values Removed Values Added
First Time Joinmastodon
Joinmastodon mastodon
CPE cpe:2.3:a:joinmastodon:mastodon:*:*:*:*:*:*:*:*
References () https://github.com/mastodon/mastodon/commit/9fee5e852669e26f970e278021302e1a203fc022 - () https://github.com/mastodon/mastodon/commit/9fee5e852669e26f970e278021302e1a203fc022 - Patch
References () https://github.com/mastodon/mastodon/security/advisories/GHSA-jhrq-qvrm-qr36 - () https://github.com/mastodon/mastodon/security/advisories/GHSA-jhrq-qvrm-qr36 - Vendor Advisory

21 Nov 2024, 09:01

Type Values Removed Values Added
References () https://github.com/mastodon/mastodon/commit/9fee5e852669e26f970e278021302e1a203fc022 - () https://github.com/mastodon/mastodon/commit/9fee5e852669e26f970e278021302e1a203fc022 -
References () https://github.com/mastodon/mastodon/security/advisories/GHSA-jhrq-qvrm-qr36 - () https://github.com/mastodon/mastodon/security/advisories/GHSA-jhrq-qvrm-qr36 -

20 Feb 2024, 19:50

Type Values Removed Values Added
Summary
  • (es) Mastodon es un servidor de red social gratuito y de código abierto basado en ActivityPub. Antes de las versiones 4.2.7, 4.1.15, 4.0.15 y 3.5.19, al recuperar estados remotos, Mastodon no verifica que la respuesta del servidor remoto tenga un valor de encabezado "Tipo de contenido" de los flujos de actividad. tipo de medio, que permite a un actor de amenazas cargar un documento de Activity Streams manipulado a un servidor remoto y hacer que un servidor Mastodon lo recupere, si el servidor remoto acepta cargas arbitrarias de usuarios. La vulnerabilidad permite a un actor de amenazas hacerse pasar por una cuenta en un servidor remoto que cumple con todas las siguientes propiedades: permite al atacante registrar una cuenta; acepta documentos arbitrarios subidos por usuarios y los coloca en el mismo dominio que los actores de ActivityPub; y proporciona documentos subidos por el usuario en respuesta a solicitudes con un valor de encabezado "Aceptar" del tipo de medio Activity Streams. Las versiones 4.2.7, 4.1.15, 4.0.15 y 3.5.19 contienen una solución para este problema.

19 Feb 2024, 16:15

Type Values Removed Values Added
New CVE

Information

Published : 2024-02-19 16:15

Updated : 2024-12-18 22:39


NVD link : CVE-2024-25623

Mitre link : CVE-2024-25623

CVE.ORG link : CVE-2024-25623


JSON object : View

Products Affected

joinmastodon

  • mastodon
CWE
CWE-434

Unrestricted Upload of File with Dangerous Type