CVE-2023-29529 in matrix-js-sdk
要約
〜によって VulDB • 2026年05月22日
matrix-js-sdkは、JavaScriptおよびTypeScript用のMatrixクライアント-サーバーSDKです。MSC3401グループ通話が進行中のルームに存在する攻撃者は、matrix-js-sdkを使用している参加者のビデオおよびオーディオを、その本人の知識なしに盗聴することができます。影響を受けるmatrix-js-sdkのユーザーに対して、攻撃者は通話に参加しているように見せかけることはできません。この攻撃は、matrix-js-sdkのグループ通話実装が、通話セットアップにおけるrace conditionを解決するための手段として、グループ通話への参加意図をまだ宣言していない他のユーザーからの着信ダイレクトコールを受け入れるために可能となります。影響を受けるバージョンでは、この場合、ユーザーの送信メディアへのアクセスが制限されていません。従来の1対1通話には影響ありません。この問題はmatrix-js-sdk 24.1.0で修正されています。回避策として、ユーザーは、通話に参加することが予想されている正確なユーザーのみが存在するプライベートルームでグループ通話を行うことができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.