PT-2024-25810 · Unknown+1 · Matrix-Sdk-Crypto+1

Kasak · Publicado 2024-05-13 · Atualizado 2024-05-14 · CVE-2024-34353

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

matrix-sdk-crypto versão 0.7.0

versões do matrix-sdk-crypto anteriores à 0.7.1

Descrição

O problema diz respeito a um erro de lógica no crate matrix-sdk-crypto, que faz parte do projeto Matrix Rust SDK. Esse bug faz com que a parte privada do par de chaves de backup seja registrada nos logs de depuração do Rust usando o crate tracing. O backup de chaves é usado para armazenar cópias criptografadas das chaves de mensagens do Matrix, facilitando o compartilhamento de chaves entre dispositivos e fornecendo uma cópia redundante caso os dispositivos sejam perdidos. Ele utiliza criptografia assimétrica com pares exclusivos de chaves públicas e privadas para cada backup de chaves do lado do servidor.

Recomendações

Para a versão 0.7.0 do matrix-sdk-crypto, atualize para a versão 0.7.1 para resolver o problema.

Como solução temporária, considere desativar o recurso de registro no crate tracing até que a atualização para a versão 0.7.1 seja aplicada.

Exploit

Correção

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2024-34353

GHSA-9GGC-845V-GCGV

Produtos afetados

Matrix-Sdk-Crypto

Tracing

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/34xxx/CVE-2024-34353.json · Exploit
• https://github.com/matrix-org/matrix-rust-sdk · Nota
• https://github.com/matrix-org/matrix-rust-sdk/releases/tag/matrix-sdk-crypto-0.7.1 · Nota
• https://github.com/matrix-org/matrix-rust-sdk/commit/fa10bbb5dd0f9120a51aa1854cec752e25790bb0 · Nota
• https://github.com/matrix-org/matrix-rust-sdk/commit/71136e44c03c79f80d6d1a2446673bc4d53a2067 · Nota
• https://github.com/matrix-org/matrix-rust-sdk/security/advisories/GHSA-9ggc-845v-gcgv · Nota
• https://osv.dev/vulnerability/GHSA-9ggc-845v-gcgv · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-34353 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-34353 · Nota de Segurança
• https://crates.io/crates/matrix-sdk-crypto/0.7.1 · Nota
• https://twitter.com/CVEnew/status/1790047134315847939 · Publicação no Twitter