äskettäin uutinen julkistettiin, että haavoittuvuuksia havaittiin (CVE-2021-40823, CVE-2021-40824) useimmissa asiakassovelluksissa hajautetulle viestintäalustalle Matriisi, joiden avulla voidaan saada tietoja avaimista, joita käytetään viestien siirtämiseen salattuissa päätepisteissä (E2EE).
Hyökkääjä, joka on vaarantanut yhden käyttäjistä chatista voi purkaa aiemmin lähetettyjen viestien salauksen tälle käyttäjälle haavoittuvista asiakassovelluksista. Onnistunut toiminta edellyttää pääsyä viestin vastaanottajan tilille ja pääsy voidaan saada sekä tiliparametrivuotojen kautta että hakkeroimalla Matrix -palvelin, jonka kautta käyttäjä muodostaa yhteyden.
Mainitaan se haavoittuvuudet ovat vaarallisimpia salattujen chat-huoneiden käyttäjille, joihin hyökkääjien ohjaamat Matrix-palvelimet on kytketty. Tällaisten palvelimien järjestelmänvalvojat voivat yrittää esiintyä palvelimen käyttäjinä siepatakseen haavoittuvista asiakassovelluksista chattiin lähetettyjä viestejä.
Haavoittuvuudet johtuvat loogisista virheistä avainten uudelleenkäytön mekanismin toteutuksissa ehdotuksia eri asiakkaissa. Matrix-ios-sdk-, matrix-nio- ja libolm-kirjastoihin perustuvat toteutukset eivät ole alttiita haavoittuvuuksille.
Niinpä haavoittuvuuksia esiintyy kaikissa sovelluksissa, jotka lainasivat ongelmakoodin y ne eivät vaikuta suoraan Matrix- ja Olm / Megolm -protokolliin.
Ongelma koskee erityisesti Element Matrixin (aiemmin Riot) ydinasiakasohjelmaa verkossa, työpöydällä ja Androidissa sekä kolmannen osapuolen asiakassovelluksia ja kirjastoja, kuten FluffyChat, Nheko, Cinny ja SchildiChat. Ongelma ei näy virallisessa iOS-asiakasohjelmassa eikä Chatty-, Hydrogen-, mautrix-, purple-matrix- ja Siphon-sovelluksissa.
Kyseisten asiakkaiden patched -versiot ovat nyt saatavilla; Siksi sitä pyydetään päivittämään mahdollisimman pian ja pahoittelemme häiriötä. Jos et voi päivittää, harkitse haavoittuvien asiakkaiden pitämistä offline -tilassa, kunnes voit. Jos haavoittuvat asiakkaat ovat offline -tilassa, heitä ei voida huijata paljastamaan avaimet. Ne voivat olla turvallisesti jälleen verkossa, kun ne on päivitetty.
Valitettavasti on vaikeaa tai mahdotonta tunnistaa taannehtivasti tämän hyökkäyksen esiintymiä vakiolokitason kanssa sekä asiakkaissa että palvelimissa. Koska hyökkäys edellyttää kuitenkin tilin vaarantamista, kotipalvelimen järjestelmänvalvojat saattavat haluta tarkistaa todennuslokeistaan merkkejä sopimattomasta käytöstä.
Avaintenvaihtomekanismi, jonka toteuttamisessa haavoittuvuuksia havaittiin, sallii asiakkaan, jolla ei ole avaimia, purkaa viestin salauksen ja pyytää avaimia lähettäjän laitteelta tai muilta laitteilta.
Tämä ominaisuus on tarpeen esimerkiksi vanhojen viestien salauksen purkamiseksi käyttäjän uudella laitteella tai siinä tapauksessa, että käyttäjä menettää olemassa olevat avaimet. Protokollamäärityksessä määrätään oletuksena olla vastaamatta avainpyyntöihin ja lähettää ne automaattisesti vain saman käyttäjän vahvistetuille laitteille. Valitettavasti käytännön toteutuksissa tätä vaatimusta ei täytetty ja avainten lähetyspyyntöjä käsiteltiin ilman asianmukaista laitetunnistusta.
Haavoittuvuudet havaittiin Element -asiakkaan turvatarkastuksessa. Korjaukset ovat nyt kaikkien ongelmallisten asiakkaiden saatavilla. Käyttäjiä kehotetaan asentamaan päivitykset pikaisesti ja katkaisemaan asiakassovellukset ennen päivityksen asentamista.
Haavoittuvuuden hyödyntämisestä ei ollut näyttöä ennen katsauksen julkaisua. On mahdotonta määrittää hyökkäyksen tosiasia vakioasiakas- ja palvelinlokien avulla, mutta koska hyökkäys vaatii tilin vaarantamisen, järjestelmänvalvojat voivat analysoida epäilyttävien kirjautumisten olemassaolon käyttämällä palvelimiensa todennuslokeja, ja käyttäjät voivat arvioida luettelon tiliin linkitettyjen laitteiden viimeaikaisia uudelleenyhteyksiä ja luottamuksen tilan muutoksia varten.
lähde: https://matrix.org