PT-2021-14473
CVE-2021-21394
·
Publicado
2021-02-25
·
Atualizado
2021-11-23
Descrição por
CVSS 3.1
6.5
MédiaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Nome do software vulnerável e versões afetadas
Versões do Synapse anteriores à 1.28.0
Descrição
O problema é causado pela falta de validação de entrada de alguns parâmetros nos endpoints usados para confirmar identificadores de terceiros, o que pode levar ao uso excessivo de espaço em disco e memória, resultando no esgotamento dos recursos. Os endpoints afetados incluem “/ matrix/client/(r0|unstable)/register/email”, “/ matrix/client/(r0|unstable)/register/msisdn”, “/ matrix/client/(r0|unstable)/account/password” e “/ matrix/client/(r0|unstable)/account/3pid”.
Recomendações
Para versões anteriores à 1.28.0, considere as seguintes soluções alternativas:
-
Desative o uso de e-mail como identificadores de terceiros, não configurando a opção
email. -
Desative o uso de números de telefone como identificadores de terceiros, garantindo que
account threepid delegates.msisdnnão esteja configurado. -
Bloqueie os padrões de endpoint afetados em um proxy reverso, incluindo “^/ matrix/client/(r0|unstable)/register/email”, “^/ matrix/client/(r0|unstable)/register/msisdn”, “^/ matrix/client/(r0|unstable)/account/password” e “^/ matrix/client/(r0|unstable)/account/3pid”.
Atualize para a versão 1.28.0 ou posterior para corrigir o problema.
Explorabilidade
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾