リモートの Fedora 38 ホストには、FEDORA-2023-56760afca8 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Synapse は、Twisted フレームワークを使って Python で書かれた Matrix プロトコルのホームサーバーです。発見された oEmbed または画像 URL は、「url_preview_url_blacklist」設定をバイパスし、サーバー側のリクエスト偽造やネットワークポリシーをバイパスできる可能性があります。影響は「url_preview_ip_range_blacklist」設定 (デフォルトではパブリック IP のみを許可) およびクライアントに返される限られた情報によって許可されている IP アドレスに制限されています。1. 発見された oEmbed URL については、非 JSON 応答または非 oEmbed 情報を含む JSON 応答は破棄されます。2. 発見された画像 URL については、画像以外の応答は破棄されます。URL プレビューが無効になっている (「url_preview_enabled」設定を介して) システム、または「url_preview_url_blacklist」を設定していないシステムは影響を受けません。この問題は、バージョン 1.85.0で対処されています。ユーザーにアップグレードすることを推奨します。ユーザーがアップグレードできない場合、URL プレビューも無効になる可能性があります。
    (CVE-2023-32683)

  - Synapse は、Twisted フレームワークを使って Python で書かれた Matrix プロトコルのホームサーバーです。影響を受けるバージョンでは、一般的でない設定を使用している場合、無効化されたユーザーがログインできる可能性があります。これは、次のいずれかに該当する場合にのみ適用されます。1. JSON Web Token は、「jwt_config.enabled」構成設定を介してログインに対して有効になります。2. ローカルパスワードデータベースは、「password_config.enabled」および「password_config.localdb_enabled」構成設定を介して有効化されます。*そして*、ユーザーのパスワードは、ユーザーが無効化された後に管理 API を介して更新されます。ローカルパスワードデータベースはデフォルトで有効になっていますが、無効化した後にユーザーのパスワードを設定することは一般的ではありません。CAS、SAML、OpenID Connect (OIDC) を介したシングルサインオン (SSO)、または外部のパスワードプロバイダー (例: LDAP) を介したログインのみを許可するように設定されているインストールは、影響を受けません。JSON Web Token を使用していない場合は、無効化されたユーザーにパスワードが設定されていないことを確認してください。この問題は、バージョン 1.85.0で対処されています。ユーザーにアップグレードすることを推奨します。(CVE-2023-32682)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Fedora 38 : matrix-synapse (2023-56760afca8)

medium Nessus プラグイン ID 177402

バージョン 1.0