リモートの Fedora 37 ホストには、FEDORA-2023-c0696d7b53 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。Synapse と悪意のあるホームサーバーの両方が同じルームに参加している場合、悪意のあるホームサーバーが Synapse を騙して、そのルームの現在の状態のビューに、以前拒否されたイベントを受け入れさせる可能性があります。これが悪用されて、脆弱なホームサーバーからそのルームに送信される以降のすべてのメッセージとステータス変更が拒否される可能性があります。この問題には、バージョン 1.68.0 でパッチが適用されています。(CVE-2022-39374)

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。Matrix Federation API により、リモートのホームサーバーがルーム内の認証イベントをリクエストできます。これは、一部のイベントを受信するホームサーバーが、それらのイベントが正当であり、ルーム内で許可されていることを検証するために必要です。ただし、1.68.0 までの Synapse のバージョンでは、承認イベントのクエリに応答する Synapse ホームサーバーが、リクエストサーバーがそれらにアクセスできるかどうかを十分にチェックしません。この問題は Synapse でパッチされています 1.69.0。Homeserver 管理者は、アップグレードすることをお勧めします。(CVE-2022-39335)

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。特定の状態イベントを作成する権限を持つ Synapse ホームサーバー X 上の悪意のあるユーザーが、X から任意のホームサーバー Y へのアウトバウンドフェデレーションを無効にする可能性があります。フェデレーションが無効な Synapse インスタンスは影響を受けません。1.73 以前の Synapse のバージョンでは、Synapse は「invite_room_state」のサイズを制限していませんでした。これは、任意の大きな招待イベントを作成できる可能性があったということです。Synapse 1.74 が大きすぎる「invite_room_state」フィールドの作成を拒否します。サーバーオペレーターを Synapse 1.74 以降に早急にアップグレードする必要があります。(CVE-2023-32323)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Fedora 37: matrix-synapse / python-matrix-common / rust-pythonize (2023-c0696d7b53)

medium Nessus プラグイン ID 181518

バージョン 1.0