PT-2022-24845 · Unknown · Matrix-Rust-Sdk

Lowpoljar · Publicado 2022-09-29 · Atualizado 2022-10-03 · CVE-2022-39252

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do matrix-rust-sdk anteriores à 0.6

Descrição

O problema ocorre quando um usuário solicita uma chave de sala a partir de seus dispositivos. O software registra corretamente a solicitação, mas não verifica a origem da chave de sala encaminhada, permitindo que os servidores domésticos possam inserir chaves de sala de validade questionável. Isso poderia facilitar um ataque de suplantação de identidade. Observe-se que, mesmo que a injeção da chave seja bem-sucedida, todas as chaves encaminhadas têm o sinalizador imported definido, indicando propriedades de autenticação reduzidas.

Recomendações

Para versões anteriores à 0.6, atualize para a versão 0.6 para resolver o problema. Como solução alternativa temporária, considere restringir a aceitação de chaves de sala encaminhadas apenas àquelas que são respostas a solicitações anteriores e provêm do dispositivo esperado.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

CWE-322

Identificadores relacionados

CVE-2022-39252

GHSA-VP68-2WRM-69QM

RUSTSEC-2022-0085

Produtos afetados

Matrix-Rust-Sdk

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39252.json · Exploit
• https://github.com/matrix-org/matrix-rust-sdk · Nota
• https://github.com/matrix-org/matrix-rust-sdk/commit/093fb5d0aa21c0b5eaea6ec96b477f1075271cbb · Correção
• https://github.com/matrix-org/matrix-rust-sdk/security/advisories/GHSA-vp68-2wrm-69qm · Nota
• https://github.com/matrix-org/matrix-rust-sdk/releases/tag/matrix-sdk-0.6.0 · Nota
• https://github.com/matrix-org/matrix-rust-sdk/commit/41449d2cc360e347f5d4e1c154ec1e3185f11acd · Correção
• https://crates.io/crates/matrix-sdk-crypto · Nota
• https://t.me/cibsecurity/50736 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-39252 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-39252 · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2022-0085.html · Nota
• https://osv.dev/vulnerability/RUSTSEC-2022-0085 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vp68-2wrm-69qm · Aviso do Fabricante