CVE-2021-41281
Açıklama
Synapse, Python 3/Twisted ile yazılmış bir Matrix homeserver paketidir. Versiyon 1.47.1 öncesinde, medya deposu etkinleştirilmiş olan Synapse örnekleri, uzak bir sunucudan rastgele bir dizine dosya indirmeye zorlanabilir. Etkilenen uç nokta için herhangi bir kimlik doğrulama gerekmemektedir. Yolun son iki dizini ve dosya adı Synapse tarafından rastgele seçilir ve saldırgan tarafından kontrol edilemez; bu durum etkiyi sınırlandırmaktadır. Medya deposu devre dışı bırakılmış olan homeserver'lar etkilenmez. Federasyon beyaz listesi kullanan homeserver'lar da etkilenmez, çünkü Synapse sondaki `../` karakterleri dahil olmak üzere uzak ana bilgisayar adını beyaz listeye göre kontrol eder. Sunucu yöneticileri 1.47.1 veya daha yeni bir sürüme yükseltmelidir. Ters proxy kullanan sunucu yöneticileri, geçici bir çözüm olarak medya işlevselliğini kaybetme pahasına belirli uç noktaları engelleyebilir. Alternatif olarak, konteynerize edilmemiş dağıtımlar sıkılaştırılmış systemd yapılandırmasını kullanacak şekilde uyarlanabilir.
Nasıl düzeltilir
- matrix synapse1.47.1 ya da sonraki bir sürüm
- matrix-synapse1.47.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| matrix synapse | v < 1.47.1 | 1.47.1 |
| fedoraproject fedora | 34, 35 | — |
| matrix-synapsePyPI | v < 1.47.1 | 1.47.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.