CVE-2022-41952 in Synapse
要約
〜によって VulDB • 2026年05月10日
URL プレビュー機能が有効な Synapse 1.52.0 以前のバージョンでは、メディアストリーム URL に対して URL プレビューの生成を試みる際に、接続時間を適切に制限しません。接続は、`max_spider_size`（デフォルト: 10M）バイトがダウンロードされるまで終了しないため、ストリーミングメディアサーバー（例えば Icecast など）に対して長時間接続が維持される場合があります。これにより、例えばストリーム URL が URL プレビューが有効な複数の Synapse インスタンスを含む大規模なルームに投稿された場合、これらのサーバーへの過剰なトラフィックと接続が発生する可能性があります。バージョン 1.52.0 では、30 秒後に URL プレビュー接続を終了するタイムアウトメカニズムが実装されました。メディアストリームに対する URL プレビューの生成はサポートされておらず、常に失敗するため、1.53.0 では Synapse が URL プレビューの生成を試みるコンテンツタイプに対するホワイトリストが追加で実装されました。この問題を完全に解決するには、1.53.0 にアップグレードしてください。回避策として、Synapse の設定ファイルで `url_preview_enabled: false` を設定し、URL プレビュー機能を無効にすることができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.