Matrix орталықтандырылмаған коммуникация платформасына арналған көптеген клиенттік қолданбаларда осалдықтар (CVE-2021-40823, CVE-2021-40824) анықталды, бұл ақырғы шифрланған (E2EE) чаттарда хабарларды жіберу үшін пайдаланылатын кілттер туралы ақпаратты алуға мүмкіндік береді. алынған. Чат пайдаланушыларының бірін бұзатын шабуылдаушы осал клиенттік қолданбалардан осы пайдаланушыға бұрын жіберілген хабарлардың шифрын шеше алады.
Сәтті операция хабарды алушының есептік жазбасына кіруді талап етеді. Қолжетімділікті тіркелгі параметрлерінің ағып кетуі арқылы немесе пайдаланушы қосылатын матрицалық серверді бұзу арқылы алуға болады. Зиянкестер басқаратын Matrix серверлері қосылған шифрланған сөйлесу бөлмелерінің пайдаланушылары үшін осалдықтар ең үлкен қауіп төндіреді. Мұндай серверлердің әкімшілері осал клиенттік қолданбалардан жіберілген чат хабарларын ұстау үшін сервер пайдаланушыларының кейпін көрсетуге тырысуы мүмкін.
Осалдықтар matrix-js-sdk < 12.4.1 (CVE-2021-40823), matrix-android-sdk2 < 1.2.2 (CVE-2021-40824) нұсқаларында ұсынылған кілтті қайталау механизмін жүзеге асырудағы логикалық қателерден туындады. , матрицасы -rust-sdk < 0.4.0, FamedlySDK < 0.5.0 және Nheko ≤ 0.8.2. matrix-ios-sdk, matrix-nio және libolm кітапханаларына негізделген енгізулер осалдықтарға сезімтал емес.
Сәйкесінше, осалдықтар проблемалық кодты алған және Matrix және Olm/Megolm протоколдарына тікелей әсер етпейтін барлық қолданбаларда пайда болады. Атап айтқанда, мәселе Web, жұмыс үстелі және Android үшін негізгі Matrix клиент элементіне (бұрынғы Riot), сондай-ақ FluffyChat, Nheko, Cinny және SchildiChat қоса, үшінші тарап клиенттік қолданбалары мен кітапханаларына әсер етеді. Мәселе iOS платформасына арналған ресми клиентте, сондай-ақ Chatty, Hydrogen, mautrix, purple-matrix және Siphon қосымшаларында пайда болмайды.
Осалдықтар Element клиентінің қауіпсіздік аудиті кезінде анықталды. Барлық зардап шеккен клиенттер үшін түзетулер шығарылды. Пайдаланушыларға жаңартуларды дереу орнату және жаңартуды орнатпас бұрын клиенттерді офлайн режиміне қою ұсынылады. Патч жарияланғанға дейін осалдықты пайдаланудың ешқандай дәлелі жоқ. Стандартты клиент пен сервер журналдарын пайдаланып шабуыл фактісін анықтау мүмкін емес, бірақ шабуыл тіркелгіге кіруді талап ететіндіктен, әкімшілер серверлеріндегі аутентификация журналдарын пайдаланып күдікті логиндердің болуын талдай алады және пайдаланушылар байланыстырылған құрылғылар тізімін бағалай алады. соңғы қайта қосылулар мен күй өзгерістері үшін олардың есептік жазбасына сенім.
Іске асыру кезінде осалдықтар табылған кілттерді бөлісу механизмі хабарламаның шифрын шешуге кілттері жоқ клиентке жіберушінің құрылғысынан немесе оның басқа құрылғыларынан кілттерді сұрауға мүмкіндік береді. Мысалы, мұндай мүмкіндік жаңа пайдаланушы құрылғысында ескі хабарлардың шифрын шешуді қамтамасыз ету үшін немесе пайдаланушы бар кілттерді жоғалтқан жағдайда қажет. Протокол сипаттамасы әдепкі бойынша негізгі сұрауларға жауап бермеуді және оларды бір пайдаланушының тексерілген құрылғыларына ғана автоматты түрде жіберуді белгілейді. Өкінішке орай, практикалық енгізулерде бұл талап орындалмады және кілттерді жіберуге сұраулар құрылғының сәйкес сәйкестендірілуінсіз өңделді.
Ақпарат көзі: opennet.ru