Kasak

**Nome do software vulnerável e versões afetadas** matrix-sdk-crypto versão 0.7.0 versões do matrix-sdk-crypto anteriores à 0.7.1 **Descrição** O problema diz respeito a um erro de lógica no crate matrix-sdk-crypto, que faz parte do projeto Matrix Rust SDK. Esse bug faz com que a parte privada do par de chaves de backup seja registrada nos logs de depuração do Rust usando o crate `tracing`. O backup de chaves é usado para armazenar cópias criptografadas das chaves de mensagens do Matrix, facilitando o compartilhamento de chaves entre dispositivos e fornecendo uma cópia redundante caso os dispositivos sejam perdidos. Ele utiliza criptografia assimétrica com pares exclusivos de chaves públicas e privadas para cada backup de chaves do lado do servidor. **Recomendações** Para a versão 0.7.0 do matrix-sdk-crypto, atualize para a versão 0.7.1 para resolver o problema. Como solução temporária, considere desativar o recurso de registro no crate `tracing` até que a atualização para a versão 0.7.1 seja aplicada.

**Nome do software vulnerável e versões afetadas** Versões do matrix-sdk-crypto anteriores à 0.8.0 **Descrição** O problema diz respeito à falta de um mecanismo dedicado para notificar quando a identidade criptográfica de um usuário muda de verificada para não verificada, o que pode fazer com que os aplicativos clientes ignorem tais alterações. Isso pode levar a problemas de segurança se não for devidamente resolvido. A variante da enumeração `VerificationLevel::VerificationViolation`, introduzida na versão 0.8.0, indica que uma identidade previamente verificada foi alterada. **Recomendações** Para versões anteriores à 0.8.0, atualize para a versão 0.8.0 ou posterior para incluir a nova variante da enumeração `VerificationLevel::VerificationViolation`, que fornece o mecanismo de notificação necessário para alterações na identidade criptográfica de um usuário.

**Name of the Vulnerable Software and Affected Versions** Synapse versions prior to 1.68.0 **Description** The issue occurs when Synapse and a malicious homeserver are both joined to the same room. The malicious homeserver can trick Synapse into accepting previously rejected events into its view of the current state of that room. This can be exploited in a way that causes all further messages and state changes sent in that room from the vulnerable homeserver to be rejected. Synapse homeservers are affected if they are joined to rooms with members of untrusted homeservers. **Recommendations** For Synapse versions prior to 1.68.0, upgrade to version 1.68.0 or higher to resolve the issue. As a temporary workaround, consider disabling federation by setting `federation domain whitelist` to an empty list (`[]`). This can help minimize the risk of exploitation until a patch is applied.

**Name of the Vulnerable Software and Affected Versions** Synapse versions up to and including 1.68.0 **Description** The Matrix Federation API in Synapse allows remote homeservers to request authorization events in a room, which is necessary for validating the legitimacy and permission of events. However, in affected versions, a Synapse homeserver does not sufficiently check if the requesting server should be able to access these events. This issue can be exploited when a malicious actor knows the ID of a target room and the ID of an event from that room. The issue is of negligible consequence for public rooms and deployments in a closed federation where all homeservers are trustworthy. **Recommendations** For Synapse versions up to and including 1.68.0, upgrade to Synapse 1.69.0 to resolve the issue. As a temporary workaround, consider configuring Synapse with a list of trusted servers using the `federation domain whitelist` to restrict access, but this is not practical for homeservers participating in open federation.

**Name of the Vulnerable Software and Affected Versions** matrix-js-sdk versions prior to 24.1.0 **Description** An attacker present in a room where an MSC3401 group call is taking place can eavesdrop on the video and audio of participants using matrix-js-sdk, without their knowledge. To affected matrix-js-sdk users, the attacker will not appear to be participating in the call. This attack is possible because matrix-js-sdk's group call implementation accepts incoming direct calls from other users, even if they have not yet declared intent to participate in the group call, as a means of resolving a race condition in call setup. Affected versions do not restrict access to the user's outbound media in this case. Legacy 1:1 calls are unaffected. **Recommendations** For versions prior to 24.1.0, update to version 24.1.0 to resolve the issue. As a temporary workaround, users may hold group calls in private rooms where only the exact users who are expected to participate in the call are present.

**Nome do software vulnerável e versões afetadas** Versões do Element para iOS anteriores à 1.9.7 **Descrição** O problema afeta o cliente Element para iOS, que é baseado no MatrixSDK. Antes da versão 1.9.7, os eventos criptografados usando o Megolm para os quais não era possível estabelecer confiança não eram marcados adequadamente, permitindo que um servidor doméstico malicioso injetasse mensagens na sala sem que o usuário fosse alertado. Isso poderia ocorrer mesmo que o usuário tivesse verificado previamente todos os membros do grupo. **Recomendações** Para versões anteriores à 1.9.7, atualize para a versão 1.9.7 para resolver o problema. Como solução temporária, considere restringir o acesso a membros não verificados do grupo para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Synapse anteriores à 1.53.0 **Descrição** O problema ocorre quando o Synapse tenta gerar visualizações de URL para URLs de streaming de mídia sem limitar adequadamente o tempo de conexão. As conexões só são encerradas após uma determinada quantidade de dados (`max spider size`, padrão 10M) ter sido baixada, o que pode levar a conexões de longa duração e tráfego excessivo para servidores de streaming de mídia como o Icecast. Isso pode ocorrer se uma URL de streaming for publicada em uma sala grande com muitas instâncias do Synapse que tenham a visualização de URL ativada. A versão 1.52.0 introduz um mecanismo de tempo limite para encerrar conexões de visualização de URL após 30 segundos, e a versão 1.53.0 implementa ainda uma lista de permissões para tipos de conteúdo que podem tentar visualizações de URL. **Recomendações** Para resolver totalmente o problema, atualize para a versão 1.53.0. Como solução alternativa temporária, desative a funcionalidade de pré-visualização de URL definindo `url preview enabled: false` no arquivo de configuração do Synapse.