CVE-2020-26257
Açıklama
Matrix, açık federatif Anlık Mesajlaşma ve VoIP için bir ekosistemdir. Synapse, Matrix'in referans "homeserver" uygulamasıdır. Kötü niyetli veya hatalı uygulanmış bir homeserver; `/send_join`, `/send_leave`, `/invite` veya `/exchange_third_party_invite` isteğinin yolunda farklı bir oda kimliği belirterek bir odaya bozuk olaylar enjekte edebilir. Bu durum, gelecekteki olayların federasyon üzerinden diğer sunuculara doğru şekilde gönderilemeyeceği bir hizmet reddine yol açabilir. Bu durum, güvenilmeyen sunuculardan gelen federasyon isteklerini kabul eden tüm sunucuları etkiler. Versiyon 1.23.1 öncesindeki Matrix Synapse referans uygulaması bu enjeksiyon saldırısına karşı savunmasızdır. Sorun versiyon 1.23.1 ile düzeltilmiştir. Geçici bir çözüm olarak homeserver yöneticileri, federasyon API'sine erişimi güvenilir sunucularla sınırlayabilir (örneğin `federation_domain_whitelist` aracılığıyla).
Nasıl düzeltilir
- matrix synapse1.23.1 ya da sonraki bir sürüm
- matrix-synapse1.23.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| matrix synapse | v < 1.23.1 | 1.23.1 |
| fedoraproject fedora | 32, 33 | — |
| matrix-synapsePyPI | v < 1.23.1 | 1.23.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.