PT-2021-14472 · Synapse+1 · Synapse+1

Richvdh · Publicado 2021-02-25 · Atualizado 2021-11-23 · CVE-2021-21393

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Synapse anteriores à 1.28.0

Descrição

O problema está relacionado à falta de validação de entrada de alguns parâmetros nos endpoints usados para confirmar identificadores de terceiros, o que poderia causar uso excessivo de espaço em disco e memória, levando ao esgotamento de recursos. Isso afeta o recurso de grupos, também conhecido como comunidades, que não faz parte da especificação Matrix. Os comprimentos máximos escolhidos são arbitrários, e nem todos os clientes podem cumpri-los.

Recomendações

Para versões anteriores à 1.28.0, considere desativar o recurso de grupos definindo enable group creation como False para mitigar este problema. Observe que o recurso de grupos está desativado por padrão.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade, mas ela é corrigida com a atualização para a versão 1.28.0 ou posterior.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

ALT-PU-2021-1402

CVE-2021-21393

GHSA-JRH7-MHHX-6H88

PYSEC-2021-26

Produtos afetados

Alt Linux

Synapse

Referências · 22

• https://github.com/matrix-org/synapse/security/advisories/GHSA-jrh7-mhhx-6h88 · Correção
• https://github.com/matrix-org/synapse/pull/9321 · Correção
• https://github.com/matrix-org/synapse/pull/9393 · Correção
• https://github.com/matrix-org/synapse/commit/3f58fc848d0002de4605bed91603a1f9f245d128 · Nota
• https://github.com/matrix-org/synapse/commit/d2f0ec12d5c8f113095408888e87e191ac546499 · Nota
• https://github.com/matrix-org/synapse · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/matrix-synapse/PYSEC-2021-26.yaml · Nota
• https://osv.dev/vulnerability/CVE-2021-21393 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-21393 · Aviso do Fabricante
• https://pypi.org/project/matrix-synapse · Nota
• https://ubuntu.com/security/CVE-2021-21393 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-26 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-21393 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-jrh7-mhhx-6h88 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/TNNAJOZNMVMXM6AS7RFFKB4QLUJ4IFEY · Aviso do Fabricante