CVE-2024-56515 in matrix-media-repo
要約
〜によって VulDB • 2026年05月27日
Matrix Media Repo (MMR) は、Matrix 用の高度にカスタマイズ可能なマルチホームサーバー用メディアリポジトリです。SVG または JPEGXL のサムネイル作成機能が有効になっている場合（デフォルトでは無効）、ユーザーはこれらのタイプのいずれかを装ったファイルをアップロードし、サムネイルをリクエストすることで、ImageMagick 内の異なるデコーダを呼び出すことができます。一部の ImageMagick インストールでは、これにより画像/ファイルをデコードするために Ghostscript を実行する能力が含まれます。MP4 のサムネイル作成機能が有効になっている場合（これもデフォルトでは無効）、上記と同じ問題が ffmpeg インストールで発生する可能性があります。MMR は、他のすべてのファイルタイプのサムネイル準備時に、多数の他のデコーダを使用しています。これらのデコーダには理論的な問題が存在する可能性がありますが、テストではそれらを悪用することはできませんでした。この問題は MMR v1.3.8 で修正されています。MMR は現在、サムネイル作成前にメディアの MIME タイプを検査し、ユーザーが提供した値に依存するのではなく、その結果に基づいてサムネイル作成ツールを選択します。これにより、珍しいファイル形式が使用された場合に生成されるサムネイルの数が減少する可能性があります。これにより、MMR がサムネイル作成に使用するすべてのデコーダに関する理論的な問題の範囲を狭めることにも役立ちます。ユーザーはアップグレードすることをお勧めします。アップグレードできないユーザーは、MMR の設定で SVG、JPEGXL、および MP4 のサムネイルタイプを無効にすることができ、これによりデコーダの呼び出しが防止されます。リスクサーフェスを制限するために、サーバー上で珍しいファイルタイプをさらに無効にすることが推奨されます。コンテナや他の類似のテクノロジーを使用して、ImageMagick や ffmpeg などの外部デコーダにおける脆弱性の影響を制限することもできます。ImageMagick の一部のインストールでは、PDF などの「安全でない」ファイルタイプがすでに無効になっている場合があります。このオプションは必要に応じて他の環境でも再現できます。ffmpeg は、限られたデコーダ/コーデックでコンパイルすることができます。MMR 用の Docker イメージは、デフォルトで PDF および類似のフォーマットを無効にしています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.