CVE-2024-36402
Açıklama
Matrix Media Repo (MMR), Matrix için yüksek düzeyde yapılandırılabilir, çoklu ev sunuculu bir medya deposudur. 1.3.5 sürümünden önceki MMR, tasarımı gereği kimliği doğrulanmamış uzak katılımcıların, uzak bir ev sunucusundaki uzak medyanın yerel medya deposuna indirilmesini ve önbelleğe alınmasını tetiklemesine izin verir. Bu içerikler daha sonra yerel ev sunucusundan da kimlik doğrulaması yapılmadan indirilebilir hale gelir. Bunun sonucu olarak, kimliği doğrulanmamış uzak saldırganlar bu işlevselliği kullanarak medya deposuna sorunlu içerikler yerleştirebilirler. MMR 1.3.5, medya indirmeleri için kimlik doğrulaması gerektiren yeni uç noktalar şeklinde kısmi bir hafifletme getirir. Kimlik doğrulaması gerektirmeyen uç noktalar gelecekteki bir sürümde dondurularak saldırı vektörü kapatılacaktır. Oldukça sınırlı olsa da, sunucu operatörleri kısmi bir geçici çözüm olarak IP adresi tabanlı daha katı hız sınırları kullanabilirler.
Nasıl düzeltilir
- t2bot matrix-media-repo1.3.5 ya da sonraki bir sürüm
- github.com/t2bot/matrix-media-repo1.3.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| t2bot matrix-media-repo | v < 1.3.5 | 1.3.5 |
| github.com/t2bot/matrix-media-repoGo | v < 1.3.5 | 1.3.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.