CVE-2022-31052
Açıklama
Synapse, Matrix sohbet ağı için açık kaynaklı bir ev sunucusu uygulamasıdır. 1.61.1 öncesindeki sürümlerde, bazı web sayfalarının URL önizlemeleri, sınırsız özyineleme nedeniyle Synapse işlemi için mevcut yığın alanını tüketebilir. Bu durum bazen kurtarılabilir ve soruna neden olan istek için bir hataya yol açar, ancak diğer durumlarda Synapse işlemi tamamen çökebilir. Bunun, ya ev sunucusundaki kötü niyetli kullanıcılar tarafından ya da yerel bir kullanıcının istemcisinin otomatik olarak URL önizlemesi isteyebileceği URL'ler gönderen uzak kullanıcılar tarafından kötüye kullanılması mümkündür. URL önizleme uç noktası kimlik doğrulamalı olduğu için uzak kullanıcılar bunu doğrudan istismar edemezler. Yapılandırmasında `url_preview_enabled: false` ayarlı olan dağıtımlar etkilenmez. Yapılandırmasında `url_preview_enabled: true` ayarlı olan dağıtımlar etkilenir. `url_preview_enabled` için herhangi bir yapılandırma değeri atanmamış olan dağıtımlar, varsayılan değer `false` olduğu için etkilenmez. URL önizlemeleri etkinleştirilmiş ev sunucularının yöneticilerinin v1.61.1 veya daha yüksek bir sürüme yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar `url_preview_enabled` ayarını false olarak belirlemelidir.
Nasıl düzeltilir
- matrix synapse1.61.1 ya da sonraki bir sürüm
- matrix-synapse1.61.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| matrix synapse | v < 1.61.1 | 1.61.1 |
| fedoraproject fedora | 35, 36 | — |
| matrix-synapsePyPI | v < 1.61.1 | 1.61.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.