CVE-2021-39163

Matrix, açık federatif Anlık Mesajlaşma ve Voice over IP için bir ekosistemdir. 1.41.0 ve önceki sürümlerde, yetkisiz kullanıcılar bir odanın ID'sini biliyorlarsa o odanın adına, avatarına, konusuna ve üye sayısına erişebilirler. Bu güvenlik açığı, savunmasız olan homeserver'ın odada bulunduğu ve güvenilmeyen kullanıcıların grup (topluluk) oluşturmasına izin verildiği homeserver'lar ile sınırlıdır. Varsayılan olarak yalnızca homeserver yöneticileri grup oluşturabilir. Ancak, homeserver yöneticileri bu bilgilere zaten veritabanı üzerinden veya admin API kullanarak erişebilmektedir. Sonuç olarak, yalnızca `enable_group_creation` yapılandırma ayarının `true` olarak belirlendiği homeserver'lar etkilenmektedir. Sunucu yöneticileri, güvenlik açığını gidermek için 1.41.1 veya daha yüksek bir sürüme yükseltmelidir. İki potansiyel geçici çözüm bulunmaktadır. Sunucu yöneticileri, yönetici olmayanların grup oluşturmasını önlemek için homeserver yapılandırmasında `enable_group_creation` ayarını `false` olarak ayarlayabilir (bu varsayılan değerdir). Ters proxy kullanan yöneticiler, grup işlevselliğinin kısmi kaybı pahasına `/_matrix/client/r0/groups/{group_id}/rooms` ve `/_matrix/client/unstable/groups/{group_id}/rooms` uç noktalarını engelleyebilirler.