GLSA-202401-12：Synapse：多个漏洞

medium Nessus 插件 ID 187728

语言：

描述

远程主机受到 GLSA-202401-12 中所述漏洞的影响（Synapse：多个漏洞）

- Synapse 是由 Matrix.org Foundation 编写和维护的开源 Matrix 主服务器。用户更新密码时，新凭据可能会短暂保存在服务器数据库中。虽然这并没有赋予服务器任何额外的功能，但它在身份验证过程中已经知道用户的密码，而这样的确破坏了密码不会存储在数据库中的预期。因此，从长远来看，数据库备份的这些密码可能会被无意捕获。这些临时存储的密码会在 48 小时后自动删除。此问题已在 1.93.0 版中解决。建议所有用户都进行升级。针对此问题，尚无已知的变通方案。
(CVE-2023-41335)

- Synapse 是由 Matrix.org Foundation 编写和维护的开源 Matrix 主服务器。用户能够伪造任何事件的已读回执（如果知道聊天室 ID 和事件 ID）。请注意，用户无法查看事件，只能将其标记为已读。这可能会造成混淆，因为客户端会显示用户是否已读取事件，即使用户不在聊天室中。已在版本 1.93.0 中修补此问题。建议所有用户都进行升级。针对此问题，尚无已知的变通方案。
(CVE-2023-42453)

- Synapse 是开源 Matrix 主服务器在 1.95.1 及 1.96.0rc1 之前的版本中，可通过 Synapse 查询远程用户的缓存设备信息。这可用于枚举主服务器已知的远程用户。建议系统管理员升级到 Synapse 1.95.1 或 1.96.0rc1 以接收补丁。变通方案是，“federation_domain_whitelist”可用于限制与主服务器的联合流量。(CVE-2023-43796)

- Synapse 是由 Matrix.org Foundation 编写和维护的开源 Matrix 主服务器。在低于 1.94.0 的版本中，恶意服务器 ACL 事件可暂时或永久影响性能，导致持续发生拒绝服务。在封闭联合（可能不需要使用服务器 ACL）上运行的主服务器不受影响。建议服务器管理员升级到 Synapse 1.94.0 或更高版本。变通方案是，可以使用 admin API 清除并拦截存在恶意服务器 ACL 事件的聊天室。(CVE-2023-45129)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。