לאחרונה הידיעה פורסמה כי זוהו נקודות תורפה (CVE-2021-40823, CVE-2021-40824) ברוב יישומי הלקוח עבור פלטפורמת התקשורת המבוזרת מטריקס, המאפשרות קבלת מידע אודות המפתחות המשמשים להעברת הודעות בצ'אטים מוצפנים מקצה לקצה (E2EE).
תוקף שהתפשר על אחד המשתמשים מהצ'אט יכול לפענח הודעות שנשלחו בעבר למשתמש זה מיישומי לקוח פגיעים. פעולה מוצלחת דורשת גישה לחשבון של מקבל ההודעה וניתן לקבל גישה הן באמצעות הדלפה של פרמטרי חשבון והן על ידי פריצה לשרת מטריקס שדרכו המשתמש מתחבר.
מוזכר ש הפגיעות הן המסוכנות ביותר עבור משתמשי חדרי צ'אט מוצפנים שאליהם מחוברים שרתי מטריקס שבשליטת התוקפים. מנהלי שרתים כאלה יכולים לנסות להתחזות למשתמשי השרת ליירט הודעות שנשלחות לצ'אט מיישומי לקוח פגיעים.
פגיעויות נגרמות על ידי טעויות לוגיות ביישומי מנגנון מתן גישה מחודשת למפתחות הצעות בלקוחות השונים שזוהו. יישומים המבוססים על ספריות matrix-ios-sdk, matrix-nio ו- libolm אינם חשופים לפגיעות.
כתוצאה מכך, נקודות תורפה מופיעות בכל היישומים שהשאילו את הקוד הבעייתי y הם אינם משפיעים ישירות על פרוטוקולי מטריקס ואולם / מגולם.
הסוגיה משפיעה באופן ספציפי על הלקוח המרכזי של Element Matrix (לשעבר Riot) עבור האינטרנט, שולחן העבודה ואנדרואיד, כמו גם יישומי וספריות של צד שלישי, כגון FluffyChat, Nheko, Cinny ו- SchildiChat. הבעיה לא מופיעה בלקוח iOS הרשמי, וגם לא ביישומי Chatty, Hydrogen, mautrix, purple-matrix ו- Siphon.
הגרסאות המתוקנות של הלקוחות המושפעים זמינות כעת; לכן מתבקש לעדכן אותו בהקדם האפשרי ואנו מתנצלים על אי הנוחות. אם אינך יכול לשדרג, שקול להשאיר לקוחות פגיעים במצב לא מקוון עד שתוכל. אם לקוחות פגיעים נמצאים במצב לא מקוון, לא ניתן לרמות אותם לחשוף את המפתחות. ייתכן שהם יחזרו לאינטרנט בבטחה ברגע שהם מעדכנים.
למרבה הצער, קשה או בלתי אפשרי לזהות באופן רטרואקטיבי מקרים של התקפה זו עם רמות יומן סטנדרטיות הקיימות הן בלקוחות והן בשרתים. עם זאת, מכיוון שההתקפה מחייבת פגיעה בחשבון, מנהלי שרת הבית עשויים לרצות לבדוק את יומני האימות שלהם אם יש סימנים לגישה בלתי הולמת.
מנגנון החלפת המפתחות, שביישומו נמצאו נקודות תורפה, מאפשר ללקוח שאין לו את המפתחות לפענח הודעה לבקש מפתחות מהמכשיר של השולח או ממכשירים אחרים.
לדוגמה, יכולת זו נחוצה כדי להבטיח פענוח של הודעות ישנות במכשיר החדש של המשתמש או במקרה שהמשתמש יאבד מפתחות קיימים. מפרט הפרוטוקול קובע כברירת מחדל לא להשיב לבקשות מפתח ולשלוח אותן אוטומטית רק למכשירים מאומתים של אותו משתמש. למרבה הצער, ביישומים מעשיים, דרישה זו לא התקיימה ובקשות לשלוח מפתחות טופלו ללא זיהוי מכשיר תקין.
הפגיעות זוהו במהלך ביקורת אבטחה של לקוח אלמנט. התיקונים זמינים כעת לכל הלקוחות הבעייתיים. מומלץ למשתמשים להתקין עדכונים בדחיפות ולנתק לקוחות לפני התקנת העדכון.
לא היו עדויות לניצול הפגיעות לפני פרסום הסקירה. לא ניתן לקבוע את עובדת ההתקפה באמצעות יומני הלקוח והשרתים הסטנדרטיים, אך מכיוון שהתקיפה דורשת פגיעה בחשבון, מנהלי מערכת יכולים לנתח את נוכחותם של כניסות חשודות באמצעות יומני האימות בשרתים שלהם, והמשתמשים יכולים להעריך את הרשימה של מכשירים המקושרים לחשבון שלהם לצורך חיבורים חוזרים ושינויים בסטטוס האמון.
מקור: https://matrix.org