リモートの Fedora 37 ホストには、FEDORA-2023-5d980e6aaf のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。ユーザーがパスワードを更新したとき、新しい認証情報がサーバーデータベースに一時的に保持される可能性があります。これは、認証プロセスの一部としてユーザーのパスワードを学習しているため、サーバーに新たな機能を与えるものではありませんが、パスワードがデータベースに保存されることはないであろうとのユーザーの期待を裏切るものです。その結果、これらのパスワードは、データベースバックアップで意図せずに長期間保存される可能性があります。これら一時的に保存されたこれらのパスワードは、48 時間後に自動的に消去されます。この問題は、バージョン 1.93.0で対処されています。ユーザーはアップグレードすることをお勧めします。この問題についての既知の回避策はありません。
    (CVE-2023-41335)

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。ユーザーが、ルーム ID とイベント ID を知っている場合、任意のイベントの既読通知を偽造できました。注意：ユーザーは単にイベントを既読済みとしてマークすることはできますが、イベントを表示することはできません。しかしこれは、ユーザーがルームにいなくても、クライアントにはイベントを既読したように表示されるため、混乱を招く可能性があります。この問題には、バージョン 1.93.0でパッチが適用されています。ユーザーはアップグレードすることをお勧めします。この問題についての既知の回避策はありません。
    (CVE-2023-42453)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 37 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2023-5d980e6aaf advisory.

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. When     users update their passwords, the new credentials may be briefly held in the server database. While this     doesn't grant the server any added capabilitiesit already learns the users' passwords as part of the     authentication processit does disrupt the expectation that passwords won't be stored in the database. As     a result, these passwords could inadvertently be captured in database backups for a longer duration. These     temporarily stored passwords are automatically erased after a 48-hour window. This issue has been     addressed in version 1.93.0. Users are advised to upgrade. There are no known workarounds for this issue.
    (CVE-2023-41335)

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. Users     were able to forge read receipts for any event (if they knew the room ID and event ID). Note that the     users were not able to view the events, but simply mark it as read. This could be confusing as clients     will show the event as read by the user, even if they are not in the room. This issue has been patched in     version 1.93.0. Users are advised to upgrade. There are no known workarounds for this issue.
    (CVE-2023-42453)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端主機受到 GLSA-202401-12 中所述的弱點影響 (Synapse：多個弱點)

  - Synapse 是由 Matrix.org Foundation 撰寫及維護的開放原始碼 Matrix 主伺服器。當使用者更新其密碼時，新認證可能會暫時保留在伺服器資料庫中。儘管伺服器已在驗證程序中得知使用者的密碼，但其並沒有獲得任何新增的功能。然後，這打破了密碼不會儲存在資料庫中的預期。因此，這些密碼可能會意外在資料庫備份中被擷取更長的時間。這些暫時儲存的密碼會在 48 小時期間自動清除。此問題已在 1.93.0 版中解決。建議所有使用者進行升級。此問題尚無已知的因應措施。
    (CVE-2023-41335)

  - Synapse 是由 Matrix.org Foundation 撰寫及維護的開放原始碼 Matrix 主伺服器。使用者可偽造任何事件的已讀回執 (若知道會議室 ID 和事件 ID)。請注意，使用者無法檢視事件，只能將其標記為已讀。這可能會造成混淆，因為用戶端會將事件顯示為使用者已讀取，即使他們不在會議室中也是如此。此問題已在 1.93.0 版中修正。建議所有使用者進行升級。此問題尚無已知的因應措施。
    (CVE-2023-42453)

  - Synapse 是開放原始碼的 Matrix 主伺服器。在低於 1.95.1 和 1.96.0rc1 的版本中，攻擊者可從 Synapse 查詢遠端使用者的快取裝置資訊。這可用來列舉主伺服器已知的遠端使用者。建議系統管理員升級至 Synapse 1.95.1 或 1.96.0rc1 以接收修補程式。作為因應措施，可以使用「federation_domain_whitelist」來限制與主伺服器的同盟流量。(CVE-2023-43796)

  - Synapse 是由 Matrix.org Foundation 撰寫及維護的開放原始碼 Matrix 主伺服器。在 1.94.0 版之前，惡意伺服器 ACL 事件可暫時或永久影響效能，進而導致持續拒絕服務。在封閉的同盟上執行的主伺服器 (可能不需要使用伺服器 ACL) 不會受到影響。建議伺服器管理員升級至 Synapse 1.94.0 或更新版本。作為因應措施，可以使用管理員 API 清除並封鎖具有惡意伺服器 ACL 事件的聊天室。(CVE-2023-45129)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机受到 GLSA-202401-12 中所述漏洞的影响（Synapse：多个漏洞）

  - Synapse 是由 Matrix.org Foundation 编写和维护的开源 Matrix 主服务器。用户更新密码时，新凭据可能会短暂保存在服务器数据库中。虽然这并没有赋予服务器任何额外的功能，但它在身份验证过程中已经知道用户的密码，而这样的确破坏了密码不会存储在数据库中的预期。因此，从长远来看，数据库备份的这些密码可能会被无意捕获。这些临时存储的密码会在 48 小时后自动删除。此问题已在 1.93.0 版中解决。建议所有用户都进行升级。针对此问题，尚无已知的变通方案。
    (CVE-2023-41335)

  - Synapse 是由 Matrix.org Foundation 编写和维护的开源 Matrix 主服务器。用户能够伪造任何事件的已读回执（如果知道聊天室 ID 和事件 ID）。请注意，用户无法查看事件，只能将其标记为已读。这可能会造成混淆，因为客户端会显示用户是否已读取事件，即使用户不在聊天室中。已在版本 1.93.0 中修补此问题。建议所有用户都进行升级。针对此问题，尚无已知的变通方案。
    (CVE-2023-42453)

  - Synapse 是开源 Matrix 主服务器 在 1.95.1 及 1.96.0rc1 之前的版本中，可通过 Synapse 查询远程用户的缓存设备信息。这可用于枚举主服务器已知的远程用户。建议系统管理员升级到 Synapse 1.95.1 或 1.96.0rc1 以接收补丁。变通方案是，“federation_domain_whitelist”可用于限制与主服务器的联合流量。(CVE-2023-43796)

  - Synapse 是由 Matrix.org Foundation 编写和维护的开源 Matrix 主服务器。在低于 1.94.0 的版本中，恶意服务器 ACL 事件可暂时或永久影响性能，导致持续发生拒绝服务。在封闭联合（可能不需要使用服务器 ACL）上运行的主服务器不受影响。建议服务器管理员升级到 Synapse 1.94.0 或更高版本。变通方案是，可以使用 admin API 清除并拦截存在恶意服务器 ACL 事件的聊天室。(CVE-2023-45129)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Fedora 39 ホストには、FEDORA-2023-4d4c73a8f0 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。ユーザーがパスワードを更新したとき、新しい認証情報がサーバーデータベースに一時的に保持される可能性があります。これは、認証プロセスの一部としてユーザーのパスワードを学習しているため、サーバーに新たな機能を与えるものではありませんが、パスワードがデータベースに保存されることはないであろうとのユーザーの期待を裏切るものです。その結果、これらのパスワードは、データベースバックアップで意図せずに長期間保存される可能性があります。これら一時的に保存されたこれらのパスワードは、48 時間後に自動的に消去されます。この問題は、バージョン 1.93.0で対処されています。ユーザーはアップグレードすることをお勧めします。この問題についての既知の回避策はありません。
    (CVE-2023-41335)

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。ユーザーが、ルーム ID とイベント ID を知っている場合、任意のイベントの既読通知を偽造できました。注意：ユーザーは単にイベントを既読済みとしてマークすることはできますが、イベントを表示することはできません。しかしこれは、ユーザーがルームにいなくても、クライアントにはイベントを既読したように表示されるため、混乱を招く可能性があります。この問題には、バージョン 1.93.0でパッチが適用されています。ユーザーはアップグレードすることをお勧めします。この問題についての既知の回避策はありません。
    (CVE-2023-42453)

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。1.94.0 より前のバージョンでは、悪意のあるサーバー ACL イベントが、一時的または永続的にパフォーマンスに影響を与え、持続的なサービス拒否を引き起こす可能性があります。閉じたフェデレーションで実行されているホームサーバー (おそらくサーバー ACL を使用する必要はない) は影響を受けません。サーバー管理者は、Synapse 1.94.0 以降にアップグレードすることをお勧めします。回避策として、悪意のあるサーバー ACL イベントのあるルームは、管理 API を使用してパージおよびブロックできます。(CVE-2023-45129)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 38 ホストには、FEDORA-2023-84ee781688 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。ユーザーが、ルーム ID とイベント ID を知っている場合、任意のイベントの既読通知を偽造できました。注意：ユーザーは単にイベントを既読済みとしてマークすることはできますが、イベントを表示することはできません。しかしこれは、ユーザーがルームにいなくても、クライアントにはイベントを既読したように表示されるため、混乱を招く可能性があります。この問題には、バージョン 1.93.0でパッチが適用されています。ユーザーはアップグレードすることをお勧めします。この問題についての既知の回避策はありません。
    (CVE-2023-42453)

  - Synapse は、Matrix.org Foundation によって作成および維持されているオープンソースの Matrix ホームサーバーです。ユーザーがパスワードを更新したとき、新しい認証情報がサーバーデータベースに一時的に保持される可能性があります。これは、認証プロセスの一部としてユーザーのパスワードを学習しているため、サーバーに新たな機能を与えるものではありませんが、パスワードがデータベースに保存されることはないであろうとのユーザーの期待を裏切るものです。その結果、これらのパスワードは、データベースバックアップで意図せずに長期間保存される可能性があります。これら一時的に保存されたこれらのパスワードは、48 時間後に自動的に消去されます。この問題は、バージョン 1.93.0で対処されています。ユーザーはアップグレードすることをお勧めします。この問題についての既知の回避策はありません。
    (CVE-2023-41335)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote host is affected by the vulnerability described in GLSA-202401-12 (Synapse: Multiple Vulnerabilities)

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. When     users update their passwords, the new credentials may be briefly held in the server database. While this     doesn't grant the server any added capabilitiesit already learns the users' passwords as part of the     authentication processit does disrupt the expectation that passwords won't be stored in the database. As     a result, these passwords could inadvertently be captured in database backups for a longer duration. These     temporarily stored passwords are automatically erased after a 48-hour window. This issue has been     addressed in version 1.93.0. Users are advised to upgrade. There are no known workarounds for this issue.
    (CVE-2023-41335)

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. Users     were able to forge read receipts for any event (if they knew the room ID and event ID). Note that the     users were not able to view the events, but simply mark it as read. This could be confusing as clients     will show the event as read by the user, even if they are not in the room. This issue has been patched in     version 1.93.0. Users are advised to upgrade. There are no known workarounds for this issue.
    (CVE-2023-42453)

  - Synapse is an open-source Matrix homeserver Prior to versions 1.95.1 and 1.96.0rc1, cached device     information of remote users can be queried from Synapse. This can be used to enumerate the remote users     known to a homeserver. System administrators are encouraged to upgrade to Synapse 1.95.1 or 1.96.0rc1 to     receive a patch. As a workaround, the `federation_domain_whitelist` can be used to limit federation     traffic with a homeserver. (CVE-2023-43796)

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. Prior to     version 1.94.0, a malicious server ACL event can impact performance temporarily or permanently leading to     a persistent denial of service. Homeservers running on a closed federation (which presumably do not need     to use server ACLs) are not affected. Server administrators are advised to upgrade to Synapse 1.94.0 or     later. As a workaround, rooms with malicious server ACL events can be purged and blocked using the admin     API. (CVE-2023-45129)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 39 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2023-4d4c73a8f0 advisory.

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. When     users update their passwords, the new credentials may be briefly held in the server database. While this     doesn't grant the server any added capabilitiesit already learns the users' passwords as part of the     authentication processit does disrupt the expectation that passwords won't be stored in the database. As     a result, these passwords could inadvertently be captured in database backups for a longer duration. These     temporarily stored passwords are automatically erased after a 48-hour window. This issue has been     addressed in version 1.93.0. Users are advised to upgrade. There are no known workarounds for this issue.
    (CVE-2023-41335)

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. Users     were able to forge read receipts for any event (if they knew the room ID and event ID). Note that the     users were not able to view the events, but simply mark it as read. This could be confusing as clients     will show the event as read by the user, even if they are not in the room. This issue has been patched in     version 1.93.0. Users are advised to upgrade. There are no known workarounds for this issue.
    (CVE-2023-42453)

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. Prior to     version 1.94.0, a malicious server ACL event can impact performance temporarily or permanently leading to     a persistent denial of service. Homeservers running on a closed federation (which presumably do not need     to use server ACLs) are not affected. Server administrators are advised to upgrade to Synapse 1.94.0 or     later. As a workaround, rooms with malicious server ACL events can be purged and blocked using the admin     API. (CVE-2023-45129)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 38 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2023-84ee781688 advisory.

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. Users     were able to forge read receipts for any event (if they knew the room ID and event ID). Note that the     users were not able to view the events, but simply mark it as read. This could be confusing as clients     will show the event as read by the user, even if they are not in the room. This issue has been patched in     version 1.93.0. Users are advised to upgrade. There are no known workarounds for this issue.
    (CVE-2023-42453)

  - Synapse is an open-source Matrix homeserver written and maintained by the Matrix.org Foundation. When     users update their passwords, the new credentials may be briefly held in the server database. While this     doesn't grant the server any added capabilitiesit already learns the users' passwords as part of the     authentication processit does disrupt the expectation that passwords won't be stored in the database. As     a result, these passwords could inadvertently be captured in database backups for a longer duration. These     temporarily stored passwords are automatically erased after a 48-hour window. This issue has been     addressed in version 1.93.0. Users are advised to upgrade. There are no known workarounds for this issue.
    (CVE-2023-41335)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
182662	Fedora 37 : Matrix-synapse (2023-5d980e6aaf)	Nessus	Fedora Local Security Checks	10/6/2023	10/6/2023	medium
182662	Fedora 37 : matrix-synapse (2023-5d980e6aaf)	Nessus	Fedora Local Security Checks	10/6/2023	10/6/2023	medium
187728	GLSA-202401-12：Synapse：多個弱點	Nessus	Gentoo Local Security Checks	1/9/2024	1/9/2024	medium
187728	GLSA-202401-12：Synapse：多个漏洞	Nessus	Gentoo Local Security Checks	1/9/2024	1/9/2024	medium
185179	Fedora 39 : matrix-synapse (2023-4d4c73a8f0)	Nessus	Fedora Local Security Checks	11/7/2023	11/7/2023	medium
182665	Fedora 38 : matrix-synapse (2023-84ee781688)	Nessus	Fedora Local Security Checks	10/6/2023	10/6/2023	medium
187728	GLSA-202401-12 : Synapse: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	1/9/2024	1/9/2024	medium
185179	Fedora 39 : matrix-synapse (2023-4d4c73a8f0)	Nessus	Fedora Local Security Checks	11/7/2023	11/7/2023	medium
182665	Fedora 38 : matrix-synapse (2023-84ee781688)	Nessus	Fedora Local Security Checks	10/6/2023	10/6/2023	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium