Dobësitë (CVE-2021-40823, CVE-2021-40824) janë identifikuar në shumicën e aplikacioneve të klientëve për platformën e decentralizuar të komunikimit Matrix, duke lejuar që informacioni rreth çelësave të përdorur për të transmetuar mesazhe në bisedat e koduara nga skaji në skaj (E2EE) fituar. Një sulmues që komprometon një nga përdoruesit e bisedës mund të deshifrojë mesazhet e dërguara më parë tek ai përdorues nga aplikacionet e klientëve të cenueshëm.
Funksionimi i suksesshëm kërkon qasje në llogarinë e marrësit të mesazhit. Qasja mund të merret ose përmes rrjedhjes së parametrave të llogarisë ose përmes hakimit të serverit Matrix përmes të cilit lidhet përdoruesi. Dobësitë përbëjnë rrezikun më të madh për përdoruesit e dhomave të bisedave të koduara me të cilat janë të lidhur serverët Matrix të kontrolluar nga sulmuesit. Administratorët e serverëve të tillë mund të përpiqen të imitojnë përdoruesit e serverit në mënyrë që të përgjojnë mesazhet e bisedës të dërguara nga aplikacionet e klientëve të cenueshëm.
Dobësitë shkaktohen nga gabime logjike në zbatimin e mekanizmit të përsëritjes së çelësit të propozuar në matrix-js-sdk < 12.4.1 (CVE-2021-40823), matrix-android-sdk2 < 1.2.2 (CVE-2021-40824) , matrica -rust-sdk < 0.4.0, FamedlySDK < 0.5.0 dhe Nheko ≤ 0.8.2. Zbatimet e bazuara në bibliotekat matrix-ios-sdk, matrix-nio dhe libolm nuk janë të ndjeshme ndaj dobësive.
Prandaj, dobësitë shfaqen në të gjitha aplikacionet që marrin hua kodin problematik dhe nuk prekin drejtpërdrejt protokollet Matrix dhe Olm/Megolm. Në veçanti, problemi prek elementin kryesor të klientit Matrix (dikur Riot) për Ueb, desktop dhe Android, si dhe aplikacionet dhe bibliotekat e klientëve të palëve të treta, duke përfshirë FluffyChat, Nheko, Cinny dhe SchildiChat. Problemi nuk shfaqet në klientin zyrtar për platformën iOS, si dhe në aplikacionet Chatty, Hydrogen, mautrix, purple-matrix dhe Siphon.
Dobësitë u identifikuan gjatë një auditimi sigurie të klientit Element. Rregullimet tani janë lëshuar për të gjithë klientët e prekur. Përdoruesit këshillohen të instalojnë përditësimet menjëherë dhe t'i marrin klientët jashtë linje përpara se të instalojnë përditësimin. Nuk ka asnjë dëshmi të shfrytëzimit të cenueshmërisë përpara publikimit të patch-it. Është e pamundur të përcaktohet fakti i një sulmi duke përdorur regjistrat standardë të klientit dhe serverit, por meqenëse sulmi kërkon kompromis të llogarisë, administratorët mund të analizojnë praninë e hyrjeve të dyshimta duke përdorur regjistrat e vërtetimit në serverët e tyre dhe përdoruesit mund të vlerësojnë listën e pajisjeve të lidhura. në llogarinë e tyre për rilidhjet e fundit dhe besimin e ndryshimeve të statusit.
Mekanizmi i ndarjes së çelësave, në zbatimin e të cilit u gjetën dobësi, i lejon një klienti që nuk ka çelësat për të deshifruar një mesazh për të kërkuar çelësa nga pajisja e dërguesit ose pajisjet e tjera të tij. Për shembull, një aftësi e tillë është e nevojshme për të siguruar deshifrimin e mesazheve të vjetra në një pajisje të re të përdoruesit ose nëse përdoruesi humbet çelësat ekzistues. Specifikimi i protokollit parashikon si parazgjedhje që të mos iu përgjigjeni kërkesave kryesore dhe t'i dërgoni ato automatikisht vetëm në pajisjet e verifikuara të të njëjtit përdorues. Fatkeqësisht, në zbatimet praktike kjo kërkesë nuk u plotësua dhe kërkesat për dërgimin e çelësave u përpunuan pa identifikimin e duhur të pajisjes.
Burimi: opennet.ru