PT-2022-24840 · Unknown · Matrix-Android-Sdk
Benjamin Dowling
+3
·
Publicado
2022-09-28
·
Atualizado
2022-09-30
·
CVE-2022-39248
CVSS v3.1
8.6
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do matrix-android-sdk2 anteriores à 1.5.1
Descrição
Um invasor em colaboração com um servidor doméstico malicioso pode criar mensagens que parecem ter sido enviadas por outra pessoa, sem qualquer indício. Essa vulnerabilidade pode ser usada para realizar ataques direcionados, enviando mensagens falsas para o dispositivo e, potencialmente, injetando segredos de backup de chaves. O problema se deve a uma vulnerabilidade de confusão de protocolo que aceita mensagens para o dispositivo criptografadas com Megolm em vez de Olm.
Recomendações
Para versões anteriores à 1.5.1, atualize para a versão 1.5.1, que aceita apenas mensagens para o dispositivo criptografadas com Olm e interrompe a assinatura de backups após a descriptografia bem-sucedida.
Como solução temporária, considere evitar o uso de métodos de verificação por emoji/QR para novos logins até que a atualização seja aplicada e, em vez disso, use a verificação por senha.
Restrinja o acesso a dispositivos não confiáveis e descarte os segredos recebidos deles.
Certifique-se de que os backups de chaves só sejam utilizáveis se tiverem uma assinatura válida de um dispositivo confiável.
Exploit
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Matrix-Android-Sdk