{"id":101267,"date":"2021-09-14T16:22:48","date_gmt":"2021-09-14T14:22:48","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-klientah-matrix-pozvolyayushhie-raskryt-klyuchi-skvoznogo-shifrovaniya"},"modified":"2021-09-14T16:22:48","modified_gmt":"2021-09-14T14:22:48","slug":"uyazvimosti-v-klientah-matrix-pozvolyayushhie-raskryt-klyuchi-skvoznogo-shifrovaniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-klientah-matrix-pozvolyayushhie-raskryt-klyuchi-skvoznogo-shifrovaniya","title":{"rendered":"Vuln\u00e9rabilit\u00e9s dans les clients Matrix permettant de r\u00e9v\u00e9ler les cl\u00e9s de chiffrement de bout en bout","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans la plupart des applications clientes de la plateforme de communication d\u00e9centralis\u00e9e Matrix (CVE-2021-40823, CVE-2021-40824), permettant d'acc\u00e9der aux informations des cl\u00e9s utilis\u00e9es pour transmettre des messages dans des chats avec chiffrement de bout en bout (E2EE). Un attaquant, en compromettant l'un des utilisateurs du chat, peut d\u00e9chiffrer les messages pr\u00e9c\u00e9demment envoy\u00e9s \u00e0 cet utilisateur \u00e0 partir des applications clientes vuln\u00e9rables. <\/p>\n

Pour une exploitation r\u00e9ussie, un acc\u00e8s au compte du destinataire des messages est n\u00e9cessaire. Cet acc\u00e8s peut \u00eatre obtenu soit par une fuite des param\u00e8tres du compte, soit par le piratage du serveur Matrix auquel l'utilisateur est connect\u00e9. Les vuln\u00e9rabilit\u00e9s repr\u00e9sentent le plus grand danger pour les utilisateurs des salles de chat chiffr\u00e9es connect\u00e9es \u00e0 des serveurs Matrix sous contr\u00f4le de cybercriminels. Les administrateurs de tels serveurs serveurs<\/a> peuvent tenter de se faire passer pour des utilisateurs du serveur afin d'intercepter les messages envoy\u00e9s dans le chat \u00e0 partir des applications clientes vuln\u00e9rables. <\/p>\n

Les vuln\u00e9rabilit\u00e9s sont caus\u00e9es par des erreurs logiques dans les mises en \u0153uvre du m\u00e9canisme de r\u00e9initialisation des cl\u00e9s, propos\u00e9es dans matrix-js-sdk < 12.4.1 (CVE-2021-40823), matrix-android-sdk2 < 1.2.2 (CVE-2021-40824), matrix-rust-sdk < 0.4.0, FamedlySDK < 0.5.0 et Nheko \u2264 0.8.2. Les mises en \u0153uvre bas\u00e9es sur les biblioth\u00e8ques matrix-ios-sdk, matrix-nio et libolm ne sont pas vuln\u00e9rables. <\/p>\n

En cons\u00e9quence, les vuln\u00e9rabilit\u00e9s se manifestent dans toutes les applications ayant emprunt\u00e9 le code probl\u00e9matique et ne concernent pas directement les protocoles Matrix et Olm\/Megolm. En particulier, le probl\u00e8me touche le client Matrix principal, Element (anciennement Riot), pour le Web, les syst\u00e8mes de bureau et Android, ainsi que les applications et biblioth\u00e8ques clientes tierces, y compris FluffyChat, Nheko, Cinny et SchildiChat. Le probl\u00e8me ne se manifeste pas dans le client officiel pour la plateforme iOS, ni dans les applications Chatty, Hydrogen, mautrix, purple-matrix et Syphon. <\/p>\n

Les vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes lors d'un audit de s\u00e9curit\u00e9 du client Element. Des correctifs ont d\u00e9j\u00e0 \u00e9t\u00e9 publi\u00e9s pour tous les clients concern\u00e9s. Les utilisateurs sont fortement recommand\u00e9s d'installer les mises \u00e0 jour rapidement, et jusqu'\u00e0 l'installation de la mise \u00e0 jour, de placer les clients en mode hors ligne. Aucune preuve d'exploitation de la vuln\u00e9rabilit\u00e9 n'a \u00e9t\u00e9 signal\u00e9e avant la publication du correctif. D'apr\u00e8s les journaux r\u00e9guliers du client et de serveurs<\/a> D\u00e9terminer un fait d'attaque est impossible, mais comme une attaque n\u00e9cessite une compromission du compte, les administrateurs peuvent analyser la pr\u00e9sence d'entr\u00e9es suspectes dans les journaux d'authentification de leurs serveurs, tandis que les utilisateurs peuvent \u00e9valuer la liste des appareils associ\u00e9s \u00e0 leur compte pour d\u00e9tecter des reconnexions r\u00e9centes et des changements de statut de confiance. <\/p>\n

Le m\u00e9canisme de partage de cl\u00e9s, dans lequel des vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 trouv\u00e9es, permet \u00e0 un client qui n'a pas de cl\u00e9s pour d\u00e9chiffrer un message de demander des cl\u00e9s \u00e0 l'appareil exp\u00e9diteur ou \u00e0 d'autres de ses appareils. Par exemple, une telle possibilit\u00e9 est n\u00e9cessaire pour garantir le d\u00e9chiffrement des anciens messages sur un nouvel appareil utilisateur ou en cas de perte des cl\u00e9s pr\u00e9c\u00e9demment d\u00e9tenues par l'utilisateur. La sp\u00e9cification du protocole stipule par d\u00e9faut de ne pas r\u00e9pondre aux demandes de cl\u00e9s et d'envoyer celles-ci automatiquement uniquement aux appareils v\u00e9rifi\u00e9s du m\u00eame utilisateur. Malheureusement, dans les mises en \u0153uvre pratiques, cette exigence n'a pas \u00e9t\u00e9 respect\u00e9e et les demandes d'envoi de cl\u00e9s ont \u00e9t\u00e9 trait\u00e9es sans identification appropri\u00e9e de l'appareil.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u0434\u043b\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b \u0434\u0435\u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u0439 Matrix \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u044b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 (CVE-2021-40823, CVE-2021-40824), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043e \u043a\u043b\u044e\u0447\u0430\u0445, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439 \u0432 \u0447\u0430\u0442\u0430\u0445 \u0441\u043e \u0441\u043a\u0432\u043e\u0437\u043d\u044b\u043c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c (E2EE). \u0410\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439, \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u0432 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0447\u0430\u0442\u0430, \u043c\u043e\u0436\u0435\u0442 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f, \u0440\u0430\u043d\u0435\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u044d\u0442\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0438\u0437 \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439. \u0414\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043d\u0430\u043b\u0438\u0447\u0438\u0435 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0443\u0447\u0451\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u0435\u043b\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-101267","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vuln\u00e9rabilit\u00e9s dans les clients Matrix, permettant de r\u00e9v\u00e9ler des cl\u00e9s de cryptage de bout en bout | ProHoster","description":"Des vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es dans la plupart des applications clientes de la plateforme de communication d\u00e9centralis\u00e9e Matrix (CVE-2021-40823, CVE-2021-40824), permettant d'obtenir des informations sur les cl\u00e9s utilis\u00e9es pour la transmission.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-klientah-matrix-pozvolyayushhie-raskryt-klyuchi-skvoznogo-shifrovaniya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u0445 Matrix, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0435 \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u044c \u043a\u043b\u044e\u0447\u0438 \u0441\u043a\u0432\u043e\u0437\u043d\u043e\u0433\u043e \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f | ProHoster","og:description":"\u0412 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0438\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u0434\u043b\u044f \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b \u0434\u0435\u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043a\u043e\u043c\u043c\u0443\u043d\u0438\u043a\u0430\u0446\u0438\u0439 Matrix \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u044b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 (CVE-2021-40823, CVE-2021-40824), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0441\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043e \u043a\u043b\u044e\u0447\u0430\u0445, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0434\u043b\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0438.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-klientah-matrix-pozvolyayushhie-raskryt-klyuchi-skvoznogo-shifrovaniya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-09-14T14:22:48+00:00","article:modified_time":"2021-09-14T14:22:48+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"101267","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-09-14 14:28:26","updated":"2026-02-22 15:30:28","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/101267","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=101267"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/101267\/revisions"}],"predecessor-version":[{"id":162276,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/101267\/revisions\/162276"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=101267"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=101267"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=101267"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}