CVE-2023-32683
Açıklama
Synapse, Python ile Twisted framework kullanılarak yazılmış bir Matrix protokolü homeserver'ıdır. Keşfedilen bir oEmbed veya görüntü URL'si, `url_preview_url_blacklist` ayarını atlayarak potansiyel olarak sunucu tarafı istek sahteciliği (SSRF) yapılmasına veya ağ politikalarının aşılmasına izin verebilir. Etki, `url_preview_ip_range_blacklist` ayarı tarafından izin verilen IP adresleri (varsayılan olarak yalnızca genel IP'lere izin verilir) ve istemciye döndürülen sınırlı bilgilerle kısıtlıdır: 1. Keşfedilen oEmbed URL'leri için, JSON olmayan herhangi bir yanıt veya oEmbed dışı bilgiler içeren bir JSON yanıtı reddedilir. 2. Keşfedilen görüntü URL'leri için, görüntü olmayan herhangi bir yanıt reddedilir. URL önizlemenin devre dışı bırakıldığı (`url_preview_enabled` ayarı aracılığıyla) veya `url_preview_url_blacklist` yapılandırması yapılmamış sistemler etkilenmez. Bu sorun 1.85.0 versiyonunda giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar ayrıca URL önizlemelerini devre dışı bırakabilirler.
Nasıl düzeltilir
- matrix synapse1.85.0 ya da sonraki bir sürüm
- matrix-synapse1.85.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| matrix synapse | v < 1.85.0 | 1.85.0 |
| matrix-synapsePyPI | v < 1.85.0 | 1.85.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.