PT-2021-14428 · Synapse+1 · Synapse+1

Clokep · Publicado 2021-02-24 · Atualizado 2022-10-21 · CVE-2021-21333

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Synapse anteriores à 1.27.0

Descrição

Os e-mails de notificação enviados para avisar sobre mensagens perdidas ou sobre o vencimento de uma conta estão sujeitos a injeção de HTML. No caso da notificação de mensagens perdidas, isso poderia permitir que um invasor inserisse conteúdo falsificado no e-mail. O recurso de vencimento de conta não está habilitado por padrão e a injeção de HTML não é controlável por um invasor.

Recomendações

Para versões anteriores à 1.27.0, atualize para a versão 1.27.0 para resolver o problema.

Como solução alternativa temporária, considere substituir os modelos notif.html, notif mail.html e room.html por modelos personalizados que escapem manualmente as variáveis usando o filtro escape do Jinja2 para as notificações de mensagens perdidas.

Para as notificações de expiração de conta, considere desativar o recurso de expiração de conta por meio da configuração account validity.enabled ou substituir o modelo notice expiry.html por um modelo personalizado que escape manualmente as variáveis usando o filtro escape do Jinja2.

Correção

Special Elements Injection

XSS

Enumeração de Fraquezas

CWE-74

CWE-79

Identificadores relacionados

ALT-PU-2021-1385

CVE-2021-21333

GHSA-C5F8-35QR-Q4FM

PYSEC-2021-134

Produtos afetados

Alt Linux

Synapse

Referências · 18

• https://github.com/matrix-org/synapse/pull/9200 · Correção
• https://github.com/matrix-org/synapse/security/advisories/GHSA-c5f8-35qr-q4fm · Correção
• https://github.com/matrix-org/synapse/releases/tag/v1.27.0 · Nota
• https://github.com/matrix-org/synapse/commit/e54746bdf7d5c831eabe4dcea76a7626f1de73df · Correção
• https://github.com/matrix-org/synapse · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/matrix-synapse/PYSEC-2021-134.yaml · Nota
• https://osv.dev/vulnerability/GHSA-c5f8-35qr-q4fm · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-134 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-21333 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-21333 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21333 · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/TNNAJOZNMVMXM6AS7RFFKB4QLUJ4IFEY · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-21333 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-21333 · Nota de Segurança
• https://t.me/cvenotify/18435 · Publicação no Telegram