ብዙ የማትሪክስ ደንበኞችን የሚያበላሹ በርካታ ተጋላጭነቶችን አግኝቷል

ማትሪክስ ፕሮቶኮል

ማትሪክስ ክፍት የፈጣን መልእክት ፕሮቶኮል ነው። ተጠቃሚዎች በኦንላይን ውይይት፣ በድምጽ በአይፒ እና በቪዲዮ ውይይት እንዲገናኙ ለማስቻል ነው የተቀየሰው።

በቅርቡ እ.ኤ.አ. መድረክ ገንቢዎች ያልተማከለ ግንኙነቶችs «ማትሪክስ» ስለ ተለያዩ ተጋላጭነቶች ማስጠንቀቂያ አውጥቷል። የተገኙት እና ወሳኝ ናቸው። በ matrix-js-sdk፣ matrix-ios-sdk እና matrix-android-sdk2 ላይብረሪዎች የአገልጋይ አስተዳዳሪዎች ሌሎች ተጠቃሚዎችን እንዲመስሉ እና ከጫፍ እስከ ጫፍ የተመሰጠሩ ቻቶች (E2EE) መልዕክቶችን እንዲያነቡ ያስችላቸዋል።

የሚለው ተጠቅሷል ጥቃትን በተሳካ ሁኔታ ለማጠናቀቅ በአጥቂዎች የሚቆጣጠረው የቤት አገልጋይ መድረስ አለበት። (የቤት አገልጋይ፡ የደንበኛ ታሪክ እና መለያዎችን የሚያከማች አገልጋይ)። በደንበኛው በኩል ከጫፍ እስከ ጫፍ ምስጠራን መጠቀም የአገልጋዩ አስተዳዳሪ በመልዕክት ውስጥ ጣልቃ እንዲገባ አይፈቅድም, ነገር ግን ተለይተው የሚታወቁት ድክመቶች ይህ ጥበቃ እንዲታገድ ያስችለዋል.

ጉዳዮች ዋናውን የElement Matrix ደንበኛን ይነካሉ (የቀድሞው Riot) ለድር፣ ዴስክቶፕ፣ አይኦኤስ እና አንድሮይድ፣ እንዲሁም እንደ ሲኒ፣ ቢፐር፣ ሺልዲቻት፣ ሰርኩሊ እና ሲኖዶስ.ኢም ያሉ የሶስተኛ ወገን ደንበኛ መተግበሪያዎች።

ድክመቶቹ በቤተመጻሕፍት ማትሪክስ-ዝገት-ኤስዲክ፣ሃይድሮጂን-ኤስዲክ፣ማትሪክስ ዳርት ኤስዲኬ፣ማትሪክስ-ፓይቶን፣ማትሪክስ-ጎ እና ማትሪክስ-ኒዮ፣እንዲሁም ሃይድሮጅን፣ElementX፣Nheko፣FluffyChat፣Siphon፣Timmy፣አይታዩም። Gomuks እና Pantalaimon መተግበሪያዎች።

ወሳኝ የክብደት ጉዳዮች በማትሪክስ-js-sdk እና ተዋጽኦዎች ውስጥ የትግበራ ጉዳዮች ናቸው እና በማትሪክስ ውስጥ የፕሮቶኮል ጉዳዮች እንዳልሆኑ ልብ ይበሉ። የተመለከትነው የቅርብ ጊዜ የተመራማሪዎች ወረቀት ኤለመንትን በስህተት እንደ “ቤንችማርክ ማትሪክስ ደንበኛ” ያሳያል እና ከፍተኛ የክብደት አተገባበር ስህተቶችን ከዝቅተኛ ክብደት ፕሮቶኮል ትችት ጋር ግራ ያጋባል።

ሶስት ሁኔታዎች አሉ። ዋና ጥቃት:

  1. የማትሪክስ አገልጋይ አስተዳዳሪ ተሻጋሪ ፊርማዎችን በመጠቀም እና ሌላ ተጠቃሚን በማስመሰል በኢሞጂ ላይ የተመሰረተ ማረጋገጫን (SAS፣ አጭር የማረጋገጫ ሰንሰለት) መስበር ይችላል። ጉዳዩ የተጋላጭነት (CVE-2022-39250) በማትሪክስ-js-sdk ኮድ ከመሳሪያ መታወቂያ አያያዝ እና የመፈረሚያ ቁልፎች ጥምር ጋር የተያያዘ ነው።
  2. አገልጋዩን የሚቆጣጠር አጥቂ ታማኝ ላኪን አስመስሎ የሌሎች ተጠቃሚዎችን መልእክት ለመጥለፍ የውሸት ቁልፍ ማለፍ ይችላል። ጉዳዩ በማትሪክስ-js-sdk (CVE-2022-39251)፣ ማትሪክስ-ios-sdk (CVE-2022-39255) እና ማትሪክስ-android-sdk2 (CVE-2022-39248) ውስጥ በተፈጠረው ተጋላጭነት ምክንያት ነው። ደንበኛው ከኦልም ይልቅ የሜጎልን ፕሮቶኮል በመጠቀም ወደ ኢንክሪፕት የተደረጉ መሳሪያዎች የተላኩ መልእክቶችን በስህተት ይቀበላል ፣ ይህም መልእክቶቹን ከእውነተኛው ላኪ ይልቅ ለሜጎል ላኪ ነው ።
  3. ባለፈው አንቀፅ ላይ የተጠቀሱትን ተጋላጭነቶች በመጠቀም የአገልጋዩ አስተዳዳሪ መልእክቶችን ለማመስጠር የሚያገለግሉትን ቁልፎች ለማውጣት የተለዋዋጭ መለዋወጫ ቁልፍ በተጠቃሚ መለያ ላይ ማከል ይችላል።

ተጋላጭነቱን የለዩ ተመራማሪዎች የሶስተኛ ወገን ተጠቃሚን ወደ ውይይት የሚጨምሩ ጥቃቶችንም አሳይተዋል። ወይም የሶስተኛ ወገን መሣሪያን ከተጠቃሚው ጋር ያገናኙ። ጥቃቶቹ ተጠቃሚዎችን ወደ ቻቱ ለመጨመር የሚያገለግሉት የአገልግሎት መልእክቶች ከቻት ፈጣሪ ቁልፎች ጋር ያልተገናኙ እና በአገልጋዩ አስተዳዳሪ ሊመነጩ የሚችሉ በመሆናቸው ነው።

የማትሪክስ ፕሮጀክት ገንቢዎች እነዚህን ተጋላጭነቶች እንደ ጥቃቅን ፈርጀዋቸዋል።, እንደዚህ ያሉ ማታለያዎች ለማትሪክስ ተፈጥሯዊ ስላልሆኑ እና በፕሮቶኮሉ ላይ ተመስርተው ደንበኞችን ብቻ የሚነኩ ናቸው, ነገር ግን ይህ ማለት ሳይስተዋል አይቀሩም ማለት አይደለም: አንድ ተጠቃሚ ከተተካ, በቻት ተጠቃሚዎች ዝርዝር ውስጥ ይታያል, እና ሲደመር. አንድ መሳሪያ, ማስጠንቀቂያ ይታያል እና መሳሪያው ያልተረጋገጠ ተብሎ ምልክት ይደረግበታል (በዚህ ሁኔታ, ያልተፈቀደውን መሳሪያ ካከሉ በኋላ ወዲያውኑ መልዕክቶችን ለመበተን የሚያስፈልጉትን የህዝብ ቁልፎች መቀበል ይጀምራል.

ማትሪክስ-ዝገት-ኤስዲክ፣ሃይድሮጂን-ኤስዲኬ እና ሌሎች XNUMXኛ እና XNUMXኛ ትውልድ ኤስዲኬዎች እዚህ ወሳኝ ጉዳዮች ዋና መንስኤ ውስጥ በትልች እንዳልተጎዱ ያስተውላሉ። ለዚህም ነው የመጀመሪያው ትውልድ ኤስዲኬዎችን በማትሪክስ-rust-sdk መልክ በንጹህ እና በጥንቃቄ የተጻፈ የዝገት ትግበራ በመካሄድ ላይ ባለው ገለልተኛ የህዝብ ኦዲት ለመተካት እየሰራን የነበረው።

ድክመቶች በግለሰብ አተገባበር ውስጥ ባሉ ስህተቶች ይከሰታሉ የማትሪክስ ፕሮቶኮል እና እነሱ የፕሮቶኮሉ ራሱ ችግሮች አይደሉም። በአሁኑ ጊዜ ፕሮጀክቱ ችግር ላለባቸው ኤስዲኬዎች እና በላያቸው ላይ ለተገነቡት አንዳንድ የደንበኛ መተግበሪያዎች ማሻሻያዎችን አውጥቷል።

በመጨረሻም አዎ ስለ እሱ የበለጠ ለማወቅ ፍላጎት አለዎት, በ ውስጥ ያሉትን ዝርዝሮች ማረጋገጥ ይችላሉ የሚከተለውን አገናኝ.


የጽሑፉ ይዘት የእኛን መርሆዎች ያከብራል የአርትዖት ሥነ ምግባር. የስህተት ጠቅ ለማድረግ እዚህ.

አስተያየት ለመስጠት የመጀመሪያው ይሁኑ

አስተያየትዎን ይተው

የእርስዎ ኢሜይል አድራሻ ሊታተም አይችልም.

*

*

  1. ለመረጃው ኃላፊነት ያለው: ሚጌል Áንጌል ጋቶን
  2. የመረጃው ዓላማ-ቁጥጥር SPAM ፣ የአስተያየት አስተዳደር ፡፡
  3. ህጋዊነት-የእርስዎ ፈቃድ
  4. የመረጃው ግንኙነት-መረጃው በሕጋዊ ግዴታ ካልሆነ በስተቀር ለሶስተኛ ወገኖች አይተላለፍም ፡፡
  5. የውሂብ ማከማቻ በኦክሴንትስ አውታረመረቦች (አውሮፓ) የተስተናገደ የውሂብ ጎታ
  6. መብቶች-በማንኛውም ጊዜ መረጃዎን መገደብ ፣ መልሰው ማግኘት እና መሰረዝ ይችላሉ ፡፡