Natukoy ang mga kahinaan (CVE-2021-40823, CVE-2021-40824) sa karamihan ng mga aplikasyon ng kliyente para sa platform ng komunikasyong desentralisado ng Matrix, na nagbibigay-daan upang makakuha ng impormasyon tungkol sa mga susi na ginagamit upang magpadala ng mga mensahe sa mga end-to-end na naka-encrypt (E2EE) na mga chat . Ang isang umaatake, sa pamamagitan ng pagkompromiso sa isa sa mga user ng chat, ay maaaring mag-decrypt ng mga mensaheng nauna nang ipinadala sa user na ito mula sa mga vulnerable na application ng kliyente.
Ang matagumpay na operasyon ay nangangailangan ng access sa account ng tatanggap. Maaaring makuha ang access sa pamamagitan ng pagtagas ng mga parameter ng account, at sa pamamagitan ng pag-hack sa Matrix server kung saan kumokonekta ang user. Ang mga kahinaan ay nagdudulot ng pinakamalaking panganib sa mga gumagamit ng mga naka-encrypt na chat room kung saan nakakonekta ang mga server ng Matrix na kinokontrol ng mga umaatake. Maaaring subukan ng mga administrator ng naturang mga server na gayahin ang mga user ng server upang ma-intercept ang mga mensaheng ipinadala sa chat mula sa mga vulnerable na application ng kliyente.
Ang mga kahinaan ay sanhi ng mga lohikal na error sa mga pagpapatupad ng key re-access na mekanismo na iminungkahi sa matrix-js-sdk < 12.4.1 (CVE-2021-40823), matrix-android-sdk2 < 1.2.2 (CVE-2021- 40824), matrix -rust-sdk < 0.4.0, FamedlySDK < 0.5.0 at Nheko β€ 0.8.2. Ang mga pagpapatupad batay sa matrix-ios-sdk, matrix-nio, at libolm library ay hindi apektado.
Alinsunod dito, lumilitaw ang mga kahinaan sa lahat ng application na humihiram ng problemang code at hindi direktang nakakaapekto sa mga protocol ng Matrix at Olm/Megolm. Sa partikular, ang isyu ay nakakaapekto sa pangunahing Elemento (dating Riot) Matrix client para sa Web, desktop, at Android, pati na rin sa mga third-party na application at library ng kliyente, kabilang ang FluffyChat, Nheko, Cinny, at SchildiChat. Hindi lumalabas ang isyu sa opisyal na iOS client, Chatty, Hydrogen, mautrix, purple-matrix, at Siphon app.
Natukoy ang mga kahinaan sa panahon ng pag-audit ng seguridad ng kliyente ng Element. Ang mga pag-aayos ay inilabas na ngayon sa lahat ng apektadong kliyente. Pinapayuhan ang mga user na agarang mag-install ng mga update at dalhin ang mga kliyente nang offline bago i-install ang update. Walang katibayan ng pagsasamantala sa kahinaan bago ang paglalathala ng pag-aayos. Imposibleng matukoy ang katotohanan ng isang pag-atake mula sa regular na mga log ng kliyente at server, ngunit dahil ang isang pag-atake ay nangangailangan ng kompromiso sa account, maaaring suriin ng mga administrator ang pagkakaroon ng mga kahina-hinalang pag-login gamit ang mga log ng pagpapatunay sa kanilang mga server, at maaaring suriin ng mga user ang listahan ng mga device na nauugnay. gamit ang kanilang account para sa mga kamakailang muling pagkakakonekta at pagbabago ng status ng tiwala.
Ang mekanismo ng pagbabahagi ng susi, sa pagpapatupad kung saan natagpuan ang mga kahinaan, ay nagbibigay-daan sa isang kliyente na walang mga susi na i-decrypt ang isang mensahe na humiling ng mga susi mula sa device ng nagpadala o sa iba pang mga device nito. Halimbawa, kailangan ang ganoong kakayahan upang matiyak ang pag-decryption ng mga lumang mensahe sa bagong device ng user o kung sakaling mawala ng user ang mga available na key. Ang detalye ng protocol ay nagrereseta bilang default na huwag tumugon sa mga pangunahing kahilingan at awtomatikong ipadala ang mga ito sa mga na-verify na device ng parehong user. Sa kasamaang palad, sa mga praktikal na pagpapatupad, hindi natugunan ang kinakailangang ito at ang mga kahilingang magpadala ng mga susi ay naproseso nang walang wastong pagkakakilanlan ng device.
Pinagmulan: opennet.ru