CVE-2021-21392

Versões do Synapse anteriores à 1.28.0

A vulnerabilidade afeta o Synapse, um servidor doméstico de referência do Matrix escrito em Python, no qual as solicitações para domínios fornecidos pelos usuários não eram restritas a endereços IP externos quando eram utilizados endereços IPv6 de transição. Isso poderia fazer com que o Synapse enviasse solicitações para a infraestrutura interna em redes dual-stack, afetando solicitações de saída para federação, servidores de identidade, cálculos de validade de chaves para eventos de convite de terceiros, notificações push e visualizações de URL.

Para versões do Synapse anteriores à 1.28.0, atualize para a versão 1.28.0 ou posterior para resolver o problema.

Como solução alternativa temporária, considere bloquear as solicitações de saída para os seguintes intervalos de endereços por meio de um firewall, caso não sejam utilizados para comunicação interna entre sistemas: ::ffff/80, ::0000/80 e 2002::/16.