CVE-2022-31052 in Synapse
要約
〜によって VulDB • 2026年06月29日
Synapseは、Matrixチャットネットワーク向けのオープンソースホームサーバー実装です。バージョン1.61.1より前のSynapseでは、制御不能な再帰により、一部のウェブページのURLプレビュー処理でSynapseプロセスの利用可能なスタック領域が枯渇する可能性があります。この問題は場合によっては回復可能であり、問題を引き起こしたリクエストに対してエラーが発生しますが、他のケースではSynapseプロセス全体がクラッシュすることがあります。これは悪意を持って攻撃者に利用される可能性があり、ホームサーバー上の悪意のあるユーザーによるものや、ローカルユーザーのクライアントが自動的にURLプレビューを要求する可能性があるURLを送信するリモートユーザーによって行われます。ただし、URLプレビューエンドポイントは認証が必要であるため、リモートユーザーはこれを直接攻撃することはできません。設定で`url_preview_enabled: false`にしているデプロイメントでは影響を受けません。一方、設定で`url_preview_enabled: true`としているデプロイメント**は**影響を受けます。また、`url_preview_enabled`の設定値が指定されていないデプロイメントも影響を受けません（既定値が`false`であるため）。URLプレビューを有効にしているホームサーバーの管理者には、v1.61.1以降へのアップグレードを推奨します。アップグレードできないユーザーは、`url_preview_enabled`を`false`に設定してください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.