CVE-2022-39251

Matrix Javascript SDK, JavaScript üçün Matrix Klient-Server SDK-dır. Versiya 19.7.0-dan əvvəl, zərərli homeserver ilə əməkdaşlıq edən hücumçu, boz qalxan kimi heç bir göstərici olmadan, legitim şəkildə başqa şəxsdən gəlmiş kimi görünən mesajlar hazırlaya bilər. Əlavə olaraq, zərərli homeserver ilə əməkdaşlıq edən təcrübəli bir hücumçu, bu boşluqdan istifadə edərək digər istifadədən gəlir kimi görünən saxta cihazdan-cihaza (to-device) mesajlar göndərmək üçün hədəflənmiş hücum həyata keçirə bilər. Bu, məsələn, özünü doğrulama zamanı açar ehtiyat sirrini (key backup secret) yerləşdirməyə və hədəf cihazın homeserver tərəfindən saxtalaşdırılmış zərərli açar ehtiyatından istifadə etməsinə şərait yarada bilər. Bu hücumlar, Olm əvəzinə Megolm ilə şifrələnmiş cihazdan-cihaza mesajları qəbul edən protokol qarışıqlığı boşluğu səbəbindən mümkündür. Versiya 19.7.0-dan başlayaraq, matrix-js-sdk yalnız Olm ilə şifrələnmiş cihazdan-cihaza mesajları qəbul etmək üçün dəyişdirilmişdir. Ehtiyat tədbiri olaraq, bir neçə digər yoxlama audit edilmiş və ya əlavə edilmişdir. Bu hücum zərərli ev serveri və hücumçu arasında koordinasiya tələb edir, buna görə də ev serverlərinə etibar edənlər üçün alternativ həll yolu tələb olunmur.