CVE-2024-37303
Açıklama
Synapse, açık kaynaklı bir Matrix homeserver'ıdır. Versiyon 1.106 öncesindeki Synapse, tasarımı gereği kimlik doğrulaması yapmamış uzak katılımcıların, uzak bir homeserver'dan yerel medya deposuna uzak medyanın indirilmesini ve önbelleğe alınmasını tetiklemesine izin verir. Bu içerikler daha sonra yerel homeserver üzerinden kimlik doğrulaması yapılmadan indirilebilir hale gelir. Bunun sonucu olarak, kimlik doğrulaması yapmamış uzak saldırganlar bu işlevselliği kullanarak medya deposuna sorunlu içerikler yerleştirebilirler. Synapse 1.106, medya indirmeleri için kimlik doğrulaması gerektiren yeni uç noktalar şeklinde kısmi bir hafifletme getirir. Kimlik doğrulaması gerektirmeyen uç noktalar gelecekteki bir sürümde dondurularak saldırı vektörü kapatılacaktır.
Nasıl düzeltilir
- matrix synapse1.106.0 ya da sonraki bir sürüm
- matrix-synapse1.106, 1.106.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| matrix synapse | v < 1.106.0 | 1.106.0 |
| matrix-synapsePyPI | v < 1.106, v < 1.106.0 | 1.106, 1.106.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.