CVE-2021-39163

Matrix açıq federativ anlıq mesajlaşma və VoIP üçün ekosistemdir. 1.41.0 və daha əvvəlki versiyalarda səlahiyyətsiz istifadəçilər otağın ID-sini bildikləri təqdirdə həmin otağın adına, avatarına, mövzusuna və üzvlərin sayına daxil ola bilərlər. Bu zəiflik yalnız həmin zəifliyi olan homeserver-in otaqda olduğu və etibarsız istifadəçilərə qrupların (icmaların) yaradılmasına icazə verildiyi homeserver-lər üçün keçərlidir. Defolt olaraq, qrupları yalnız homeserver administratorları yarada bilər. Lakin homeserver administratorları artıq bu məlumatlara verilənlər bazasında və ya admin API vasitəsilə daxil ola bilirlər. Nəticədə, yalnız konfiqurasiya parametrlərində `enable_group_creation` dəyəri `true` olaraq təyin edilmiş homeserver-lər təsirlənir. Server administratorları zəifliyi aradan qaldırmaq üçün 1.41.1 və ya daha yüksək versiyaya yüksəltmə etməlidirlər. İki potensial alternativ həll yolu mövcuddur. Server administratorları administrator olmayan şəxslər tərəfindən qrupların yaradılmasının qarşısını almaq üçün homeserver konfiqurasiyasında `enable_group_creation` parametrini `false` olaraq təyin edə bilərlər (bu defolt dəyərdir). Reverse proxy istifadə edən administratorlar, qrup funksionallığının qismən itirilməsi bahasına `/_matrix/client/r0/groups/{group_id}/rooms` və `/_matrix/client/unstable/groups/{group_id}/rooms` son nöqtələrini (endpoints) bloklaya bilərlər.