PT-2021-4112 · Synapse+1 · Synapse+1

Richvdh · Publicado 2021-03-30 · Atualizado 2024-06-15 · CVE-2021-29471

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Synapse anteriores à 1.33.2

Descrição

O problema está relacionado ao consumo descontrolado de recursos nas regras de envio do Synapse. Isso permite que um invasor remoto provoque uma negação de serviço. O problema surge quando determinados padrões, incluindo curingas, são usados na condição event match, levando a um desempenho insatisfatório no mecanismo de correspondência ao processar eventos de comprimento moderado.

Recomendações

Para versões anteriores à 1.33.2, atualize para a versão 1.33.2 para resolver o problema.

Como solução alternativa temporária, considere impedir que os usuários criem regras de push personalizadas, bloqueando tais solicitações em um proxy reverso.

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-331

CWE-400

Identificadores relacionados

ALT-PU-2021-1971

BDU:2021-04702

CVE-2021-29471

GHSA-X345-32RC-8H85

OPENSUSE-SU-2024:11041-1

PYSEC-2021-135

Produtos afetados

Alt Linux

Synapse

Referências · 29

• https://github.com/matrix-org/synapse/commit/03318a766cac9f8b053db2214d9c332a977d226c · Correção
• https://github.com/matrix-org/synapse/security/advisories/GHSA-x345-32rc-8h85 · Correção
• https://github.com/matrix-org/synapse/releases/tag/v1.33.2 · Nota
• https://github.com/matrix-org/synapse · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/matrix-synapse/PYSEC-2021-135.yaml · Nota
• https://suse.com/security/cve/CVE-2020-10108 · Nota
• https://osv.dev/vulnerability/CVE-2021-29471 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-04702 · Nota de Segurança
• https://suse.com/security/cve/CVE-2020-26257 · Nota
• https://suse.com/security/cve/CVE-2021-3449 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-29471 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2019-5885 · Nota
• https://osv.dev/vulnerability/PYSEC-2021-135 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-x345-32rc-8h85 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2018-12291 · Nota