CVE-2024-56515 in matrix-media-repo
Résumé
par VulDB • 27/05/2026
Matrix Media Repo (MMR) est un dépôt de médias multi-homeserver hautement configurable pour Matrix. Si les modules de génération de vignettes (thumbnailers) pour les formats SVG ou JPEGXL sont activés (ils sont désactivés par défaut), un utilisateur peut télécharger un fichier qui se présente comme l'un de ces types et demander la génération d'une vignette afin d'invoquer un décodeur différent dans ImageMagick. Sur certaines installations d'ImageMagick, cela inclut la capacité d'exécuter Ghostscript pour décoder l'image/le fichier. Si les modules de génération de vignettes pour les fichiers MP4 sont activés (également désactivés par défaut), le même problème que ci-dessus peut se produire avec l'installation de ffmpeg à la place. MMR utilise un certain nombre d'autres décodeurs pour tous les autres types de fichiers lors de la préparation des vignettes. Des problèmes théoriques sont possibles avec ces décodeurs ; toutefois, lors des tests, leur exploitation s'est révélée impossible. Cela est corrigé dans MMR v1.3.8. MMR inspecte désormais le type MIME des médias avant la génération de la vignette et sélectionne un module de vignettage en fonction de ces résultats, au lieu de se fier aux valeurs fournies par l'utilisateur. Cela peut entraîner une réduction du nombre de vignettes lorsque des formats de fichiers obscurs sont utilisés. Cela contribue également à réduire la portée des problèmes théoriques liés à tous les décodeurs utilisés par MMR pour les vignettes. Il est conseillé aux utilisateurs de mettre à niveau. Les utilisateurs ne pouvant pas mettre à niveau peuvent désactiver les types de vignettes SVG, JPEGXL et MP4 dans la configuration de MMR, ce qui empêche l'invocation des décodeurs. Il est également recommandé de désactiver davantage les types de fichiers peu courants sur le serveur afin de limiter la surface d'attaque. Des conteneurs et d'autres technologies similaires peuvent également être utilisés pour limiter l'impact des vulnérabilités dans les décodeurs externes, tels qu'ImageMagick et ffmpeg. Certaines installations d'ImageMagick peuvent déjà désactiver les types de fichiers « non sécurisés », tels que les PDF. Cette option peut être répliquée dans d'autres environnements si nécessaire. ffmpeg peut être compilé avec des décodeurs/codecs limités. L'image Docker pour MMR désactive les PDF et les formats similaires par défaut.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.