Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Synapse は、Python 3/Twisted で記述された Matrix ホームサーバーのパッケージです。バージョン 1.47.1より前では、メディアリポジトリが有効な Synapse インスタンスが騙されて、リモートサーバーから任意のディレクトリへファイルをダウンロードする可能性があります。影響を受けるエンドポイントに認証は必要ありません。パスの最後の 2 つのディレクトリとファイル名は Synapse によってランダムに選択され、攻撃者によってコントロールできないために、影響が限定されます。メディアリポジトリが無効になっているホームサーバーは影響を受けません。
    Synapse は、末尾の `../`s を含むリモートホスト名をホワイトリストに照らしてチェックするため、フェデレーションホワイトリストを持つホームサーバーも影響を受けません。サーバー管理者は、Synapse 1.47.1 以降にアップグレードするべきです。リバースプロキシを使用するサーバー管理者は、メディア機能を損失することと引き換えに、回避策として特定のエンドポイントをブロックする可能性があります。別な方法として、コンテナ化されていないデプロイメントは、強化された systemd 構成を使用するように適合させることができます。CVE-2021-41281

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2021-41281

high Nessus プラグイン ID 256012

バージョン 1.3