CVE-2022-41952
Açıklama
URL önizleme işlevi etkinleştirilmiş olan 1.52.0 öncesi Synapse sürümleri, bağlantı süresini uygun şekilde sınırlandırmadan medya akış URL'leri için URL önizlemeleri oluşturmaya çalışır. Bağlantılar yalnızca `max_spider_size` (varsayılan: 10M) bayt indirildikten sonra sonlandırılır; bu durum bazı vakalarda, akış medya sunucusuna (örneğin Icecast) yönelik uzun ömürlü bağlantılara yol açabilir. Eğer bir akış URL'si, örneğin URL önizlemesi etkin birçok Synapse örneğinin bulunduğu büyük bir odaya gönderilirse, bu tür sunuculara yönelik aşırı trafik ve bağlantıya neden olabilir. Versiyon 1.52.0, URL önizleme bağlantılarını 30 saniye sonra sonlandıracak bir zaman aşımı mekanizması uygular. Medya akışları için URL önizlemesi oluşturulması desteklenmediği ve her zaman başarısız olduğu için, 1.53.0 sürümü ek olarak Synapse'in URL önizlemesi oluşturmayı deneyeceği içerik türleri için bir izin listesi uygular. Sorunu tamamen çözmek için 1.53.0 sürümüne yükseltin. Geçici bir çözüm olarak, Synapse yapılandırma dosyasında `url_preview_enabled: false` ayarını yaparak URL önizleme işlevini kapatın.
Nasıl düzeltilir
- matrix synapse1.53.0 ya da sonraki bir sürüm
- matrix-synapse1.53.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| matrix synapse | v < 1.53.0 | 1.53.0 |
| matrix-synapsePyPI | v < 1.53.0 | 1.53.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.