PT-2021-14381 · Synapse+1 · Synapse+1

Clokep · Publicado 2021-02-24 · Atualizado 2022-10-24 · CVE-2021-21274

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

**Nome do software vulnerável e versões afetadas:

Versões do Synapse anteriores à 1.25.0

Descrição:

Um servidor doméstico malicioso poderia redirecionar solicitações ao seu arquivo .well-known para um arquivo de grande tamanho, levando a um ataque de negação de serviço em que os servidores domésticos consomem significativamente mais recursos ao solicitar o arquivo .well-known de um servidor doméstico malicioso. Isso afeta qualquer servidor que aceite solicitações de federação de servidores não confiáveis.

Recomendações:

Para versões do Synapse anteriores à 1.25.0, atualize para a versão 1.25.0 para resolver o problema.

Como solução alternativa temporária, considere usar a configuração federation domain whitelist para restringir os servidores domésticos com os quais se comunica por meio da federação.

Correção

DoS

Allocation of Resources Without Limits

Resource Exhaustion

Enumeração de Fraquezas

CWE-770

CWE-400

Identificadores relacionados

ALT-PU-2021-1385

CVE-2021-21274

GHSA-2HWX-MJRM-V3G8

PYSEC-2021-132

Produtos afetados

Alt Linux

Synapse

Referências · 19

• https://github.com/matrix-org/synapse/commit/ff5c4da1289cb5e097902b3e55b771be342c29d6 · Correção
• https://github.com/matrix-org/synapse/security/advisories/GHSA-2hwx-mjrm-v3g8 · Correção
• https://github.com/matrix-org/synapse/pull/8950 · Correção
• https://github.com/matrix-org/synapse/releases/tag/v1.25.0 · Nota
• https://github.com/matrix-org/synapse · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/matrix-synapse/PYSEC-2021-132.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-21274 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2021-21274 · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/TNNAJOZNMVMXM6AS7RFFKB4QLUJ4IFEY · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-132 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-21274 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2hwx-mjrm-v3g8 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-21274 · Aviso do Fabricante
• https://t.me/cvenotify/18433 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2021-21274 · Aviso do Fabricante