CVE-2022-31052 in Synapse
Riassunto
di VulDB • 25/06/2026
Synapse è un'implementazione open source di home server per la rete chat Matrix. Nelle versioni precedenti alla 1.61.1, le anteprime degli URL (URL previews) di alcune pagine web possono esaurire lo spazio dello stack disponibile per il processo Synapse a causa di una ricorsione non limitata. Questo scenario è talvolta recuperabile e provoca un errore nella richiesta che genera il problema, ma in altri casi può causare l'arresto completo del processo Synapse. È possibile sfruttare questa vulnerabilità in modo malevolo, sia da parte di utenti malintenzionati presenti sul homeserver, sia tramite utenti remoti che inviano URL per i quali il client di un utente locale potrebbe richiedere automaticamente un'anteprima dell'URL. Gli utenti remoti non sono in grado di sfruttare direttamente la vulnerabilità poiché l'endpoint delle anteprime degli URL richiede autenticazione. Le installazioni con `url_preview_enabled: false` impostato nella configurazione non sono interessate. Le installazioni con `url_preview_enabled: true` impostato nella configurazione **sono** interessate. Le installazioni in cui il valore di configurazione per `url_preview_enabled` non è specificato non sono interessate, poiché il valore predefinito è `false`. Si consiglia agli amministratori dei homeserver con le anteprime degli URL abilitate di effettuare l'aggiornamento alla versione 1.61.1 o successiva. Gli utenti che non possono eseguire l'aggiornamento dovrebbero impostare `url_preview_enabled` su false.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.