म्याट्रिक्स क्लाइन्टहरूमा कमजोरीहरू जसले अन्त-देखि-अन्त इन्क्रिप्सन कुञ्जीहरू उजागर गर्न सक्छ

भेद्यताहरू (CVE-2021-40823, CVE-2021-40824) म्याट्रिक्स विकेन्द्रीकृत संचार प्लेटफर्मको लागि धेरै ग्राहक अनुप्रयोगहरूमा पहिचान गरिएको छ, जसले अन्त-देखि-अन्त इन्क्रिप्टेड (E2EE) च्याटहरूमा सन्देशहरू प्रसारण गर्न प्रयोग हुने कुञ्जीहरूको बारेमा जानकारी अनुमति दिन्छ। प्राप्त। च्याट प्रयोगकर्ताहरू मध्ये एकसँग सम्झौता गर्ने आक्रमणकारीले कमजोर क्लाइन्ट अनुप्रयोगहरूबाट त्यो प्रयोगकर्तालाई पहिले पठाइएको सन्देशहरू डिक्रिप्ट गर्न सक्छ।

सफल सञ्चालनको लागि सन्देश प्राप्तकर्ताको खातामा पहुँच आवश्यक छ। पहुँच या त खाता प्यारामिटरहरूको चुहावट मार्फत वा म्याट्रिक्स सर्भरको ह्याकिङ मार्फत प्राप्त गर्न सकिन्छ जस मार्फत प्रयोगकर्ता जडान हुन्छ। एन्क्रिप्टेड च्याट रुमका प्रयोगकर्ताहरूका लागि कमजोरीहरूले सबैभन्दा ठूलो खतरा निम्त्याउँछ जसमा आक्रमणकारीहरूद्वारा नियन्त्रित म्याट्रिक्स सर्भरहरू जडान हुन्छन्। त्यस्ता सर्भरका प्रशासकहरूले कमजोर क्लाइन्ट अनुप्रयोगहरूबाट पठाइएका च्याट सन्देशहरू रोक्नको लागि सर्भर प्रयोगकर्ताहरूको नक्कल गर्ने प्रयास गर्न सक्छन्।

matrix-js-sdk < 12.4.1 (CVE-2021-40823), matrix-android-sdk2 < 1.2.2 (CVE-2021-40824) मा प्रस्तावित कुञ्जी रिप्ले मेकानिज्मको कार्यान्वयनमा तार्किक त्रुटिहरूको कारणले गर्दा कमजोरीहरू भएका हुन्। , matrix -rust-sdk <0.4.0, FamedlySDK <0.5.0 र Nheko ≤ 0.8.2। matrix-ios-sdk, matrix-nio र libolm पुस्तकालयहरूमा आधारित कार्यान्वयनहरू कमजोरीहरूको लागि संवेदनशील छैनन्।

तदनुसार, समस्याग्रस्त कोड उधारो लिने र म्याट्रिक्स र ओल्म/मेगोल्म प्रोटोकलहरूलाई प्रत्यक्ष रूपमा असर नगर्ने सबै अनुप्रयोगहरूमा कमजोरीहरू देखा पर्छन्। विशेष गरी, समस्याले वेब, डेस्कटप र एन्ड्रोइडका लागि मुख्य म्याट्रिक्स क्लाइन्ट एलिमेन्ट (पहिले दंगा) लाई असर गर्छ, साथै तेस्रो-पक्ष क्लाइन्ट अनुप्रयोगहरू र पुस्तकालयहरू, FluffyChat, Nheko, Cinny र SchildiChat सहित। आईओएस प्लेटफर्मका लागि आधिकारिक क्लाइन्टमा, साथै च्याट्टी, हाइड्रोजन, मट्रिक्स, पर्पल-म्याट्रिक्स र साइफन अनुप्रयोगहरूमा समस्या देखा पर्दैन।

एलिमेन्ट ग्राहकको सुरक्षा अडिटको क्रममा कमजोरीहरू पहिचान गरिएको थियो। फिक्सहरू अब सबै प्रभावित ग्राहकहरूको लागि जारी गरिएको छ। प्रयोगकर्ताहरूलाई अपडेटहरू तुरुन्तै स्थापना गर्न र अद्यावधिक स्थापना गर्नु अघि ग्राहकहरूलाई अफलाइन लिन सल्लाह दिइन्छ। प्याचको प्रकाशन अघि जोखिमको शोषणको कुनै प्रमाण छैन। मानक क्लाइन्ट र सर्भर लगहरू प्रयोग गरेर आक्रमणको तथ्य निर्धारण गर्न असम्भव छ, तर आक्रमणको लागि खाता सम्झौता आवश्यक भएकोले, प्रशासकहरूले उनीहरूको सर्भरमा प्रमाणीकरण लगहरू प्रयोग गरेर शंकास्पद लगइनहरूको उपस्थितिको विश्लेषण गर्न सक्छन्, र प्रयोगकर्ताहरूले लिङ्क गरिएका उपकरणहरूको सूची मूल्याङ्कन गर्न सक्छन्। भर्खरैको पुन: जडानहरू र स्थिति परिवर्तनहरू विश्वासको लागि तिनीहरूको खातामा।

कुञ्जी साझेदारी संयन्त्र, जसको कार्यान्वयनमा कमजोरीहरू फेला परेका थिए, प्रेषकको उपकरण वा यसको अन्य उपकरणहरूबाट कुञ्जीहरू अनुरोध गर्न सन्देश डिक्रिप्ट गर्न कुञ्जीहरू नभएको ग्राहकलाई अनुमति दिन्छ। उदाहरणका लागि, नयाँ प्रयोगकर्ता उपकरणमा पुरानो सन्देशहरूको डिक्रिप्शन सुनिश्चित गर्न वा प्रयोगकर्ताले अवस्थित कुञ्जीहरू गुमाएमा यस्तो क्षमता आवश्यक छ। प्रोटोकल स्पेसिफिकेशनले पूर्वनिर्धारित रूपमा कुञ्जी अनुरोधहरूको जवाफ नदिने र तिनीहरूलाई स्वचालित रूपमा उही प्रयोगकर्ताको प्रमाणित यन्त्रहरूमा पठाउनको लागि निर्धारित गर्दछ। दुर्भाग्यवश, व्यावहारिक कार्यान्वयनहरूमा यो आवश्यकता पूरा भएन र कुञ्जीहरू पठाउन अनुरोधहरू उचित उपकरण पहिचान बिना नै प्रशोधन गरियो।

स्रोत: opennet.ru