Vulnerabilities goufen an de meeschte Matrix Clienten fonnt

Viru kuerzem d'Nouvelle gouf verëffentlecht datt Schwachstelle identifizéiert goufen (CVE-2021-40823, CVE-2021-40824) an de meeschte Client Uwendungen fir déi dezentraliséiert Kommunikatiounsplattform Matrix, déi et erlaben Informatioun ze kréien iwwer d'Schlëssele benotzt fir Messagen a verschlësselte End-to-End Chats (E2EE) ze transferéieren.

En Ugräifer deen ee vun de Benotzer kompromittéiert huet vum Chat kënne virdru geschéckt Messagen entschlësselen un dëse Benotzer vu vulnérabel Client Uwendungen. Erfollegräich Operatioun erfuerdert Zougang zum Message vum Empfänger vum Empfang an den Zougang kann souwuel duerch e Leck vu Kontosparameter kritt ginn wéi och duerch den Hacking vum Matrix Server duerch deen de Benotzer verbënnt.

Et gëtt erwähnt datt d'Schwachstelle sinn déi geféierlechst fir Benotzer vu verschlësselte Chatraim, op déi Ugräifer kontrolléiert Matrix Server verbonne sinn. Administrateure vun esou Server kënnen probéieren d'Benotzer vum Server ze verpersonnéieren fir Messagen z'interceptéieren, déi geschéckt gi vu chat vu vulnéise Client Uwendungen.

Schwächen gi vu logesche Feeler an den Implementatioune vum Mechanismus verursaacht fir nei Zougang zu Schlësselen ze ginn Virschléi bei de verschiddene Clientë festgestallt. Implementatiounen baséiert op de Matrix-ios-sdk, matrix-nio, a libolm Bibliothéike sinn net vulnérabel fir Schwachstelle.

Deementspriechend Schwächen erschéngen an all Uwendungen déi de problematesche Code geléint hunn y si beaflossen net direkt d'Matrix an den Olm / Megolm Protokoller.

Speziell beaflosst d'Thema de Kär Element Matrix (fréier Riot) Client fir de Web, Desktop, an Android, souwéi Drëtt-Partei Client Uwendungen a Bibliothéiken, wéi FluffyChat, Nheko, Cinny, a SchildiChat. De Problem erschéngt net am offiziellen iOS Client, nach an de Chatty, Wasserstoff, Mautrix, Purple-Matrix a Siphon Uwendungen.

Déi gefléckt Versioune vun de betraffene Clienten sinn elo verfügbar; also gëtt gefrot datt et sou séier wéi méiglech aktualiséiert gëtt a mir entschëllege sech fir den Nodeel. Wann Dir net Upgrade kënnt, betruecht wéi Dir vulnerabel Clienten offline hält bis Dir kënnt. Wann vulnérabel Clienten offline sinn, kënne se net getrimmt ginn d'Schlësselen opzeweisen. Si kënne sécher erëm online sinn nodeems se aktualiséiert ginn.

Leider ass et schwéier oder onméiglech retroaktiv Fäll vun dësem Attack z'identifizéieren mat Standardlogniveauen op béide Clienten a Serveren. Wéi och ëmmer, well d'Attack de Kont kompromittéiert erfuerdert, kënnen Heemserver Administrateuren hir Authentifikatiounsprotokoller iwwerpréiwen fir Zeeche vun onpassenden Zougang.

De Schlësselaustauschmechanismus, an der Ëmsetzung vun där Schwachstelle fonnt goufen, erlaabt e Client deen net d'Schlësselen huet eng Noriicht ze entschlësselen fir Schlësselen aus dem Senders Apparat oder aneren Apparater ze froen.

Zum Beispill ass dës Fäegkeet noutwendeg fir d'Dekryptioun vun alen Messagen um neien Apparat vum Benotzer ze garantéieren oder am Fall wou de Benotzer existente Schlëssele verléiert. D'Protokollspezifikatioun schreift Par défaut net op Schlësselufroe z'äntwerten an se automatesch nëmmen op verifizéiert Apparater vum selwechte Benotzer ze schécken. Leider, a prakteschen Implementatioune gouf dës Fuerderung net erfëllt an Ufroe fir d'Schlësselen ze schécken goufen ouni richteg Gerätidentifikatioun veraarbecht.

D'Schwachstelle goufen identifizéiert wärend engem Sécherheetsaudit vum Element Client. D'Fixes sinn elo verfügbar fir all bedréckt Clienten. D'Benotzer ginn ugeroden dréngend Updates z'installéieren an d'Clients ze trennen ier se den Update installéieren.

Et gouf kee Beweis fir d'Schwachstelle ze exploitéieren virun der Verëffentlechung vun der Iwwerpréiwung. Et ass onméiglech d'Tatsaach vun engem Attack mat Standard Client- a Serverprotokoller ze bestëmmen, awer well d'Attack de Kont kompromittéiert erfuerdert, kënnen d'Administrateuren d'Präsenz vu verdächtege Logins analyséieren mat den Authentifikatiounsprotokoller op hire Serveren, an d'Benotzer kënnen d'Lëscht evaluéieren vun Apparater verbonne mat hirem Kont fir rezent nei Verbindungen a Vertrauensstatus Ännerungen.

Source: https://matrix.org


Den Inhalt vum Artikel hält sech un eis Prinzipie vun redaktionnell Ethik. Fir e Feeler ze mellen klickt hei.

Gitt d'éischt fir ze kommentéieren

Gitt Äre Kommentar

Är Email Adress gëtt net publizéiert ginn. Néideg Felder sinn markéiert mat *

*

*

  1. Responsabel fir d'Daten: Miguel Ángel Gatón
  2. Zweck vun den Donnéeën: Kontroll SPAM, Kommentarmanagement.
  3. Legitimatioun: Är Zoustëmmung
  4. Kommunikatioun vun den Donnéeën: D'Donnéeë ginn net un Drëttubidder matgedeelt ausser duerch legal Verpflichtung.
  5. Datenspeicher: Datebank gehost vun Occentus Networks (EU)
  6. Rechter: Zu all Moment kënnt Dir Är Informatioun limitéieren, recuperéieren an läschen.