וואַלנעראַביליטיז זענען געפֿונען אין רובֿ מאַטריץ קלייאַנץ

לעצטנס די נייַעס איז ארויס אַז וואַלנעראַביליטיז זענען יידענאַפייד (CVE-2021-40823, CVE-2021-40824) אין רובֿ קליענט אַפּלאַקיישאַנז פֿאַר די דיסענטראַלייזד קאָמוניקאַציע פּלאַטפאָרמע מאַטריץ, וואָס אַלאַוז איר צו באַקומען אינפֿאָרמאַציע וועגן די שליסלען צו אַריבערפירן אַרטיקלען אין ענקריפּטיד סוף-צו-סוף טשאַץ (E2EE).

אַן אַטאַקער וואָס האָט קאַמפּראַמייזד איינער פון די יוזערז פון די שמועסן קענען דעקריפּט פריער געשיקט אַרטיקלען צו דעם באַניצער פֿון שפּירעוודיק קליענט אַפּלאַקיישאַנז. מצליח אָפּעראַציע ריקווייערז אַקסעס צו דער אָנזאָג באַקומער ס אַקסעס און אַקסעס קענען זיין באקומען ביידע דורך אַ רינען פון פּאַראַמעטערס און דורך כאַקינג די מאַטריץ סערווער דורך וואָס דער באַניצער קאַנעקץ.

עס איז דערמאנט אַז די וואַלנעראַביליטיז זענען מערסט געפערלעך פֿאַר יוזערז פון ינקריפּטיד שמועסן רומז צו וואָס אַטאַקערז קאַנטראָולד מאַטריץ סערווערס זענען פארבונדן. אַדמיניסטראַטאָרס פון אַזאַ סערווערס קענען פּרווון צו ימפּערסאַנייט יוזערז פון די סערווער צו ינטערסעפּט אַרטיקלען געשיקט צו שמועסן פֿון שפּירעוודיק קליענט אַפּלאַקיישאַנז.

וואַלנעראַביליטיז זענען געפֿירט דורך לאַדזשיקאַל ערראָרס אין די ימפּלאַמענטיישאַן פון די מעקאַניזאַם צו געבן שייַעך-אַקסעס צו קיז פּראַפּאָוזאַלז אין די פאַרשידענע קלייאַנץ דיטעקטאַד. ימפּלעמענטאַטיאָנס באזירט אויף די מאַטריץ-ios-sdk, matrix-nio און libolm לייברעריז זענען נישט שפּירעוודיק פֿאַר וואַלנעראַביליטיז.

דעריבער, וואַלנעראַביליטיז דערשייַנען אין אַלע אַפּלאַקיישאַנז וואָס באַראָוד די פּראָבלעמאַטיק קאָד y זיי טאָן ניט ווירקן די פּראָטאָקאָלס Matrix און Olm / Megolm גלייך.

ספּאַסיפיקלי, די אַרויסגעבן אַפעקץ די האַרץ עלעמענט מאַטריץ (אַמאָל ריאָט) קליענט פֿאַר די וועב, דעסקטאַפּ און אַנדרויד, און דריט פּאַרטיי קליענט אַפּלאַקיישאַנז און לייברעריז, אַזאַ ווי FluffyChat, Nheko, Cinny און SchildiChat. דער פּראָבלעם קען נישט דערשייַנען אין דער באַאַמטער יאָס קליענט, אָדער אין די אַפּלאַקיישאַנז Chatty, Hydrogen, mautrix, purple-matrix און Siphon.

די פּאַטשט ווערסיעס פון די אַפעקטאַד קלייאַנץ זענען איצט בנימצא; אַזוי עס איז געבעטן אַז עס איז דערהייַנטיקט ווי באַלד ווי מעגלעך און מיר אַנטשולדיקן פֿאַר די ינקאַנוויניאַנס. אויב איר קענען נישט אַפּגרייד, באַטראַכטן האַלטן שפּירעוודיק קלייאַנץ אָפפלינע ביז איר קענען. אויב שפּירעוודיק קלייאַנץ זענען אָפפלינע, זיי קענען ניט זיין טריקט צו אַנטדעקן די שליסלען. זיי קען זיין בעשאָלעם צוריק אָנליין ווען זיי זענען ופּדאַטעד.

צום באַדויערן, עס איז שווער אָדער אוממעגלעך צו רעטראָואַקטיוולי ידענטיפיצירן ינסטאַנסיז פון דעם באַפאַלן מיט נאָרמאַל קלאָץ לעוועלס אויף ביידע קלייאַנץ און סערווערס. אָבער, זינט די באַפאַלן ריקוויירז קאַמפּראַמאַזיישאַן פון די חשבון, היים סערווער אַדמיניסטראַטאָרס קען וועלן צו קאָנטראָלירן זייער אָטענטאַקיישאַן לאָגס פֿאַר קיין וואונדער פון ינאַפּראָופּרייט אַקסעס.

דער שליסל וועקסל מעקאַניזאַם, אין דער ימפּלאַמענטיישאַן פון וואָס די וואַלנעראַביליטיז זענען געפֿונען, אַלאַוז אַ קליענט וואָס קען נישט האָבן די שליסלען צו דעקריפּט אַ אָנזאָג צו בעטן קיז פֿון די סענדער ס מיטל אָדער אנדערע דעוויסעס.

צום ביישפּיל, די פיייקייט איז נויטיק צו ענשור די דעקריפּטיאָן פון אַלט אַרטיקלען אויף די באַניצער 'ס נייַ מיטל אָדער אויב דער באַניצער פארלירט יגזיסטינג שליסלען. די פּראָטאָקאָל באַשרייַבונג פּריסקרייבז דורך פעליקייַט נישט צו ריספּאַנד צו שליסל ריקוועס און צו אויטאָמאַטיש שיקן זיי בלויז צו וועראַפייד דעוויסעס פון דער זעלביקער באַניצער. צום באַדויערן, אין פּראַקטיש ימפּלאַמענטיישאַנז, דעם פאָדערונג איז נישט באגעגנט און ריקוועס צו שיקן קיז זענען פּראַסעסט אָן געהעריק מיטל לעגיטימאַציע.

די וואַלנעראַביליטיז זענען יידענאַפייד בעשאַס אַ זיכערהייט קאָנטראָלירן פון די עלעמענט קליענט. די פיקסיז זענען איצט בארעכטיגט פֿאַר אַלע ומרויק קאַסטאַמערז. יוזערז זענען אַדווייזד צו דרינגלעך ינסטאַלירן דערהייַנטיקונגען און דיסקאַנעקט קלייאַנץ איידער ינסטאָלינג די דערהייַנטיקן.

עס איז געווען קיין באַווייַזן פון עקספּלויטיישאַן פון די וואַלנעראַביליטי איידער די מעלדונג פון דער רעצענזיע. עס איז אוממעגלעך צו באַשטימען דעם פאַקט פון אַ באַפאַלן מיט נאָרמאַל קליענט און סערווער לאָגס, אָבער זינט די באַפאַלן ריקווייערז קאַמפּראַמייזינג די חשבון, אַדמיניסטראַטאָרס קענען אַנאַלייז די בייַזייַן פון סאַספּישאַס לאָגינס מיט די אָטענטאַקיישאַן לאָגס אויף זייער סערווערס און די יוזערז קענען אָפּשאַצן די רשימה פון דעוויסעס לינגקט צו זייער חשבון פֿאַר די לעצטע ריקאַנעקשאַנז און ענדערונגען אין צוטרוי סטאַטוס.

מקור: https://matrix.org


דער אינהאַלט פון דעם אַרטיקל אַדכיר צו אונדזער פּרינציפּן פון לייט עטיקס. צו מעלדונג אַ טעות גיט דאָ.

זייט דער ערשטער צו באַמערקן

לאָזן דיין באַמערקונג

אייער בליצפּאָסט אַדרעס וועט נישט זייַן ארויס. Required fields זענען אנגעצייכנט מיט *

*

*

  1. פאַראַנטוואָרטלעך פֿאַר די דאַטן: Miguel Ángel Gatón
  2. ציל פון די דאַטן: קאָנטראָל ספּאַם, קאָמענטאַר פאַרוואַלטונג.
  3. לעגיטימאַטיאָן: דיין צושטימען
  4. קאָמוניקאַציע פון ​​די דאַטן: די דאַטן וועט נישט זיין קאַמיונאַקייטיד צו דריט פּאַרטיעס אַחוץ דורך לעגאַל פליכט.
  5. דאַטן סטאָרידזש: דאַטאַבייס כאָוסטיד דורך Occentus Networks (EU)
  6. רעכט: צו קיין צייט איר קענט באַגרענעצן, צוריקקריגן און ויסמעקן דיין אינפֿאָרמאַציע.