CVE-2024-56515 in matrix-media-repo
الملخص
بحسب VulDB • 31/05/2026
تمثل Matrix Media Repo (MMR) مستودع وسائط متعدد الخوادم (multi-homeserver) قابل للتكوين بشكل كبير لنظام Matrix. إذا كانت أدوات إنشاء الصور المصغرة (thumbnailers) لملفات SVG أو JPEGXL مفعّلة (وهي معطلة افتراضياً)، فقد يقوم مستخدم برفع ملف يدّعي أنه من أحد هذين النوعين وطلب إنشاء صورة مصغرة، مما يؤدي إلى استدعاء مُفسّر (decoder) مختلف في ImageMagick. في بعض تثبيتات ImageMagick، يتضمن ذلك القدرة على تشغيل Ghostscript لفك تشفير الصورة/الملف. إذا كانت أدوات إنشاء الصور المصغرة لملفات MP4 مفعّلة (وهي أيضاً معطلة افتراضياً)، فقد يحدث نفس المشكلة المذكورة أعلاه ولكن مع تثبيت ffmpeg بدلاً من ذلك. تستخدم MMR عدداً من مُفسّرات أخرى لجميع أنواع الملفات الأخرى أثناء تحضير الصور المصغرة. قد توجد ثغرات نظرية متعلقة بهذه المُفسّرات، ومع ذلك لم يكن من الممكن استغلالها أثناء الاختبارات. تم إصلاح هذه المشكلة في MMR الإصدار 1.3.8. تقوم MMR الآن بفحص نوع الوسيط (mimetype) قبل إنشاء الصور المصغرة، وتختار أداة إنشاء الصور المصغرة بناءً على هذه النتائج بدلاً من الاعتماد على القيم التي يقدمها المستخدم. قد يؤدي ذلك إلى ظهور عدد أقل من الصور المصغرة عند استخدام أشكال ملفات غير شائعة. يساعد هذا أيضاً في تضييق نطاق الثغرات النظرية المتعلقة بجميع المُفسّرات التي تستخدمها MMR للصور المصغرة. يُنصح المستخدمون بالترقية. قد يتمكن المستخدمون غير القادرين على الترقية من تعطيل أنواع الصور المصغرة SVG وJPEGXL وMP4 في تكوين MMR، مما يمنع استدعاء المُفسّرات. يُوصى أيضاً بتعطيل أنواع الملفات غير الشائعة على الخادم لتقليل سطح الهجوم. يمكن أيضاً استخدام الحاويات (Containers) والتقنيات المشابهة الأخرى للحد من تأثير الثغرات في المُفسّرات الخارجية، مثل ImageMagick وffmpeg. قد تقوم بعض تثبيتات ImageMagick بتعطيل أنواع الملفات "غير الآمنة"، مثل ملفات PDF، بالفعل. يمكن تكرار هذا الخيار في البيئات الأخرى حسب الحاجة. قد يتم تجميع ffmpeg مع مُفسّرات/تشفيرات (codecs) محدودة. يعطل صورة Docker الخاصة بـ MMR ملفات PDF والأشكال المشابهة بها افتراضياً.
If you want to get best quality of vulnerability data, you may have to visit VulDB.