Matrix мессенджер SDK уязвимость
В протоколе Matrix содержатся ошибки, которые позволяют хакеру менять сообщения пользователей.
Группа исследователей кибербезопасности
обнаружила
5 уязвимостей в библиотеках кода, которые могут быть использованы для взлома зашифрованных чат-клиентов Matrix. Хакер может выдавать себя за реального пользователя и отправлять сообщения от его имени.
Matrix позиционирует себя как открытый протокол для мгновенного обмена сообщениями с надежным сквозным шифрованием, проверкой пользователей и другими механизмами криптографической защиты.
3 недостатка содержатся в библиотеках matrix-react-sdk, matrix-js-sdk и matrix-android-sdk2 и затрагивают чат-клиенты Element, Beeper, Cinny, SchildiChat, Circuli и Synod.im. Однако, под угрозой не все клиенты, так как это проблема уровня реализации.
28 сентября фонд Matrix.org Foundation, управляющий протоколом децентрализованной связи Matrix,
выпустил бюллетень , в котором описал недостатки как уязвимости в ПО сквозного шифрования Matrix, а также порекомендовал пользователям уязвимых приложений и библиотек обновить их.
По словам Matrix.org Foundation, уязвимости уже исправлены, и нет доказательств их эксплуатации на практике. Для использования всех недостатков необходимо создать свой злонамеренный домашний сервер.
Две критические ошибки идентифицируются как:
Key/Device Identifier Confusion in SAS Verification ( CVE-2022-39250 ).[/b] Относится к ошибке «matrix-js-sdk», которая путает идентификаторы устройств с ключами перекрестной подписи, что может позволить злоумышленнику-администратору сервера выдавать себя за целевого пользователя.
Trusted [/b]Impersonation ([/b] CVE-2022-39251 ).[/b] Это ошибка путаницы протоколов в «matrix-js-sdk», которая может позволить киберпреступнику подделывать предыдущие сообщения от других пользователей. Ошибка также отслеживается как
CVE-2022-39255
(matrix-ios-sdk) и
CVE-2022-39248
(matrix-android-sdk2).
Trusted Impersonation
представляет из себя резервное копирование вредоносного ключа. Это сценарий, в котором злоумышленник-администратор домашнего сервера может добавить резервную копию вредоносного ключа в учетную запись пользователя для эксфильтрации ключей сообщений.
При эксплуатации этой уязвимости библиотека matrix-js-sdk принимает ключи, перенаправленные другими пользователями, которые не были запрошены. Это позволяет хакеру выдавать себя за других пользователей.
Еще одна ошибка под названием «Homeserver» имеет средний уровень опасности и позволяет вредоносному домашнему серверу отправлять приглашения пользователям, контролируемым сервером, или добавлять свои устройства к учетным записям пользователей.
Matrix.org запланировал исправление этого недостатка на ближайшие несколько месяцев. В документе исследователей отмечается, что Matrix полагается на «специализированный криптографический протокол, который не подвергался всесторонней обработке со стороны криптографического сообщества.
SECURITYLAB.RU
