Matrix-synapse
Уязвимости
44
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.02967
Распределение по критичности
Критический
1
Высокий
15
Средний
25
Низкий
3
Также сопоставлено как (исходные строки): matrix-synapse
Топ уязвимостей
CVE-2019-18835Matrix Synapse до версии 1.5.0 неправильно обрабатывает проверку подписи в некоторых API федерации. События, отправленные через /send_join, /send_leave и /invite, могут быть подписаны неправильно или могут поступать не с ожидаемых серверов.
CVE-2018-16515Matrix Synapse до версии 0.33.3.1 позволяет удаленным злоумышленникам подделывать события и, возможно, оказывать другие неуказанные воздействия, используя ненадлежащую проверку транзакций и подписей событий.
CVE-2024-52815Synapse — это сервер Matrix с открытым исходным кодом. Synapse версий до 1.120.1 не может правильно проверять приглашения, полученные через федерацию. Эта уязвимость позволяет вредоносному серверу отправлять специально созданное приглашение, которое нарушает функциональность /sync приглашенного пользователя. Synapse 1.120.1 отклоняет такие недействительные приглашения, полученные через федерацию, и восстанавливает возможность синхронизации для затронутых пользователей.
CVE-2024-53863Synapse - это Matrix homeserver с открытым исходным кодом. В версиях Synapse до 1.120.1 включение параметра dynamic_thumbnails или обработка специально созданного запроса могли вызвать декодирование и создание эскизов для необычных форматов изображений, что потенциально могло привести к вызову внешних инструментов, таких как Ghostscript, для обработки. Это значительно расширяет поверхность атаки в исторически уязвимой области, представляя риск, который намного перевешивает выгоду, особенно потому, что эти форматы редко используются в открытом Интернете или в экосистеме Matrix. Synapse 1.120.1 решает эту проблему, ограничивая создание эскизов изображениями в следующих широко используемых форматах: PNG, JPEG, GIF и WebP. Эта уязвимость устранена в версии 1.120.1.
CVE-2024-52805Synapse — это сервер Matrix с открытым исходным кодом. В Synapse до 1.120.1 запросы multipart/form-data в определенных конфигурациях могут временно увеличивать потребление памяти сверх ожидаемых уровней во время обработки запроса, что можно использовать для усиления атак типа «отказ в обслуживании». Synapse 1.120.1 решает эту проблему, отклоняя запросы с неподдерживаемым типом контента multipart/form-data.
CVE-2021-21332Synapse - это эталонный сервер Matrix, написанный на python (pypi пакет matrix-synapse). Matrix - это экосистема для открытого федеративного обмена мгновенными сообщениями и VoIP. В Synapse до версии 1.27.0 конечная точка сброса пароля, обслуживаемая через Synapse, была уязвима для межсайтовых скриптовых атак (XSS). Воздействие зависит от конфигурации домена, на котором развернут Synapse, но может разрешить доступ к файлам cookie и другим данным браузера, уязвимостям CSRF и доступ к другим ресурсам, обслуживаемым в том же домене или родительских доменах. Это исправлено в версии 1.27.0.
CVE-2025-30355Synapse - это реализация серверов Matrix с открытым исходным кодом. Злонамеренный сервер может создавать события, которые при получении предотвращают федерацию Synapse версии до 1.127.0 с другими серверами. Уязвимость была использована в дикой природе и была исправлена в Synapse v1.127.1. Известные обходные пути отсутствуют.
CVE-2024-37302Synapse — это Matrix homeserver с открытым исходным кодом. Версии Synapse до 1.106 уязвимы для атаки заполнения диска, когда неаутентифицированный злоумышленник может заставить Synapse загружать и кэшировать большие объемы удаленного медиаконтента. Стратегии ограничения скорости по умолчанию недостаточно для смягчения этой проблемы. Это может привести к отказу в обслуживании, начиная от сбоя дальнейших загрузок/скачиваний медиаконтента до полной недоступности процесса Synapse, в зависимости от того, как был развернут Synapse. Synapse 1.106 представляет новое ограничение скорости «протекающее ведро» на загрузку удаленного медиаконтента, чтобы уменьшить объем данных, которые пользователь может запросить за раз. Это не полностью решает проблему, но ограничивает возможность неаутентифицированного пользователя запрашивать кэширование больших объемов данных.
CVE-2022-31152Synapse — это Matrix homeserver с открытым исходным кодом, написанный и поддерживаемый Matrix.org Foundation. Спецификация Matrix определяет список [правил авторизации событий](https://spec.matrix.org/v1.2/rooms/v9/#authorization-rules), которые необходимо проверять при определении того, следует ли принимать событие в комнату. В версиях Synapse до версии 1.61.0 включительно некоторые из этих правил применяются некорректно. Злоумышленник может создавать события, которые будут приняты Synapse, но не сервером, соответствующим спецификациям, что может привести к расхождению состояния комнаты между серверами. Администраторам хоумсерверов с включенной федерацией рекомендуется обновиться до версии 1.62.0 или выше. Федерацию можно отключить, установив для [`federation_domain_whitelist`](https://matrix-org.github.io/synapse/latest/usage/configuration/config_documentation.html#federation_domain_whitelist) пустой список (`[]`) в качестве обходного решения.
CVE-2021-41281Synapse - это пакет для Matrix homeservers, написанный на Python 3/Twisted. До версии 1.47.1 экземпляры Synapse с включенным репозиторием мультимедиа можно обманом заставить загрузить файл с удаленного сервера в произвольный каталог. Для затронутой конечной точки не требуется аутентификация. Последние 2 каталога и имя файла в пути выбираются Synapse случайным образом и не могут контролироваться злоумышленником, что ограничивает воздействие. Домашние серверы с отключенным репозиторием мультимедиа не подвержены уязвимости. Домашние серверы со списком разрешенных федераций также не подвержены уязвимости, поскольку Synapse будет проверять удаленное имя хоста, включая конечные `../`, по списку разрешенных. Администраторам серверов следует обновиться до версии 1.47.1 или более поздней. Администраторы серверов, использующие обратный прокси, могут, ценой потери функциональности мультимедиа, заблокировать определенные конечные точки в качестве обходного пути. В качестве альтернативы, неконтейнеризованные развертывания можно адаптировать для использования усиленной конфигурации systemd.
CVE-2020-26890Matrix Synapse до версии 1.20.0 ошибочно допускает нестандартные значения NaN, Infinity и -Infinity JSON в полях событий m.room.member, что позволяет удаленным злоумышленникам выполнить атаку типа «отказ в обслуживании» против федерации и общих клиентов Matrix. Если такое неправильно сформированное событие принято в состояние комнаты, воздействие является долгосрочным и не устраняется обновлением до более новой версии, требуя вместо этого ручного редактирования события. Поскольку события реплицируются на серверы других членов комнаты, воздействие не ограничивается сервером отправителя события.
CVE-2019-5885Matrix Synapse до 0.34.0.1, когда параметр аутентификации macaroon_secret_key не установлен, использует предсказуемое значение для получения секретного ключа и других секретов, что может позволить удаленным злоумышленникам выдавать себя за пользователей.
CVE-2019-11842Проблема была обнаружена в Matrix Sydent до версии 1.0.3 и Synapse до версии 0.99.3.1. Неправильно обрабатывается генерация случайных чисел, что облегчает злоумышленникам прогнозирование токена аутентификации Sydent или случайного идентификатора Synapse.
CVE-2018-12423В Synapse до версии 0.31.2 неавторизованные пользователи могут захватывать комнаты, когда нет действующего события m.room.power_levels.
CVE-2018-12291Функция on_get_missing_events в handlers/federation.py в Matrix Synapse версий до 0.31.1 имеет ошибку безопасности в API федерации get_missing_events, из-за которой правила видимости событий применялись некорректно.
CVE-2018-10657Matrix Synapse до версии 0.28.1 подвержен отказу в обслуживании, когда вредоносные события, внедренные с глубиной = 2^63 - 1, делают комнаты непригодными для использования, что связано с federation/federation_base.py и handlers/message.py, как это было использовано в реальных условиях в апреле 2018 года.
CVE-2026-45078Synapse - это реализация домашней сервировки Matrix с открытым исходным кодом. До 1.152.1 локальные аутентифицированные пользователи могут заставить Synapse лишить другие запросы процессора и привести к отказу других запросов, в результате чего другим пользователям будет отказано в обслуживании. Эта уязвимость зафиксирована в 1.152.1.
CVE-2024-31208Synapse - это сервер Matrix с открытым исходным кодом. Удаленный пользователь Matrix с вредоносными намерениями, делящий комнату с инстанциями Synapse до версии 1.105.1, может отправлять специально созданные события для эксплуатации уязвимости в алгоритме разрешения состояния V2. Это может вызвать высокое потребление ЦП и накопление избыточных данных в базе данных таких инстансов, что приведет к отказу в обслуживании. Серверы в частных федерациях или те, которые не федератированы, не затрагиваются. Администраторы серверов должны обновиться до версии 1.105.1 или более поздней. Доступны некоторые обходные решения. Можно заблокировать злонамеренных пользователей или заблокировать серверы ACL из комнат и/или покинуть комнату и очистить комнату с помощью API администратора.
CVE-2022-39374Synapse - это сервер матрицы с открытым исходным кодом, написанный и поддерживаемый Фондом Matrix.org. Если Synapse и вредоносный домашний сервер находятся в одной комнате, вредоносный домашний сервер может обмануть Synapse, заставив его принять ранее отклоненные события в своем представлении текущего состояния этой комнаты. Это может быть эксплуатировано таким образом, что все дальнейшие сообщения и изменения состояния, отправленные в этой комнате с уязвимого домашнего сервера, будут отклонены. Эта проблема была исправлена в версии 1.68.0.
CVE-2022-31052Synapse — это реализация домашнего сервера с открытым исходным кодом для сети чата Matrix. В версиях до 1.61.1 предварительный просмотр URL-адресов некоторых веб-страниц может исчерпать доступное пространство стека для процесса Synapse из-за неограниченной рекурсии. Иногда это можно восстановить, что приводит к ошибке для запроса, вызвавшего проблему, но в других случаях процесс Synapse может полностью завершиться сбоем. Это можно использовать злонамеренно либо злоумышленниками на домашнем сервере, либо удаленными пользователями, отправляющими URL-адреса, для которых клиент локального пользователя может автоматически запросить предварительный просмотр URL-адреса. Удаленные пользователи не могут использовать это напрямую, поскольку конечная точка предварительного просмотра URL-адреса проходит аутентификацию. Развертывания с параметром `url_preview_enabled: false` в конфигурации не подвержены этой проблеме. Развертывания с параметром `url_preview_enabled: true` в конфигурации **подвержены** этой проблеме. Развертывания без установленного значения конфигурации для `url_preview_enabled` не подвержены этой проблеме, поскольку по умолчанию установлено значение `false`. Администраторам домашних серверов с включенным предварительным просмотром URL-адресов рекомендуется выполнить обновление до версии 1.61.1 или выше. Пользователям, которые не могут выполнить обновление, следует установить для параметра `url_preview_enabled` значение false.
CVE-2021-21394Synapse — это эталонный сервер Matrix, написанный на языке Python (пакет pypi matrix-synapse). Matrix — это экосистема для открытого федеративного обмена мгновенными сообщениями и VoIP. В Synapse до версии 1.28.0 отсутствие проверки входных данных для некоторых параметров в конечных точках, используемых для подтверждения сторонних идентификаторов, может привести к чрезмерному использованию дискового пространства и памяти, что приведет к исчерпанию ресурсов. Обратите внимание, что функция групп не является частью спецификации Matrix, и выбранные максимальные длины являются произвольными. Не все клиенты могут их соблюдать. Дополнительные сведения, включая обходные пути, см. в упомянутом рекомендательном бюллетене по безопасности GitHub.
CVE-2021-21393Synapse — это эталонный сервер Matrix, написанный на языке Python (пакет pypi matrix-synapse). Matrix — это экосистема для открытого федеративного обмена мгновенными сообщениями и VoIP. В Synapse до версии 1.28.0 отсутствие проверки входных данных для некоторых параметров в конечных точках, используемых для подтверждения сторонних идентификаторов, может привести к чрезмерному использованию дискового пространства и памяти, что приведет к исчерпанию ресурсов. Обратите внимание, что функция групп не является частью спецификации Matrix, и выбранные максимальные длины являются произвольными. Не все клиенты могут их соблюдать. Дополнительные сведения, включая обходные пути, см. в упомянутом рекомендательном бюллетене по безопасности GitHub.
CVE-2021-21274Synapse - это эталонный Matrix homeserver, написанный на python (пакет pypi matrix-synapse). Matrix - это экосистема для открытого федеративного обмена мгновенными сообщениями и VoIP. В Synapse до версии 1.25.0 злоумышленный homeserver может перенаправлять запросы к своему файлу .well-known на большой файл. Это может привести к атаке типа "отказ в обслуживании", когда homeservers будут потреблять значительно больше ресурсов при запросе файла .well-known злоумышленного homeserver. Это затрагивает любой сервер, который принимает федеративные запросы от ненадежных серверов. Проблема решена в версии 1.25.0. В качестве обходного пути можно использовать настройку `federation_domain_whitelist`, чтобы ограничить homeservers, с которыми осуществляется связь по федерации.
CVE-2020-26257Matrix — это экосистема для открытого федеративного обмена мгновенными сообщениями и VoIP. Synapse — это эталонная реализация «домашнего сервера» Matrix. Вредоносный или плохо реализованный домашний сервер может внедрять некорректные события в комнату, указав другой идентификатор комнаты в пути запроса `/send_join`, `/send_leave`, `/invite` или `/exchange_third_party_invite`. Это может привести к отказу в обслуживании, при котором будущие события не будут правильно отправляться на другие серверы по федерации. Это влияет на любой сервер, который принимает федеративные запросы с ненадежных серверов. Эталонная реализация Matrix Synapse до версии 1.23.1 реализации уязвима для этой инъекционной атаки. Проблема устранена в версии 1.23.1. В качестве обходного пути администраторы домашних серверов могут ограничить доступ к API федерации для доверенных серверов (например, с помощью `federation_domain_whitelist`).
CVE-2021-21392Synapse — это эталонный сервер Matrix, написанный на языке Python (пакет pypi matrix-synapse). Matrix — это экосистема для открытого федеративного обмена мгновенными сообщениями и VoIP. В Synapse до версии 1.28.0 запросы к доменам, предоставленным пользователем, не ограничивались внешними IP-адресами при использовании переходных адресов IPv6. Затронуты исходящие запросы к федерации, серверам идентификации при вычислении срока действия ключа для сторонних событий приглашения, отправке push-уведомлений и создании предварительного просмотра URL. Это может привести к тому, что Synapse будет отправлять запросы к внутренней инфраструктуре в сетях с двойным стеком. Дополнительные сведения и обходные пути см. в упомянутом рекомендательном бюллетене по безопасности GitHub.