🇰🇷 한글 설명
matrix-appservice-irc는 Matrix를 위한 Node.js 기반 IRC 브리지입니다. 1.0.1 버전 이전에는 특정 이벤트 ID를 알고 있을 경우 다른 브리지 룸의 메시지 일부가 유출될 수 있는 취약점이 존재합니다. 버전 1.0.1에서 이 문제가 해결되었습니다.
💡 쉬운 설명
해커가 특정 메시지의 ID를 미리 알고 있다면, 다른 채팅방에서 오가는 메시지 내용을 몰래 훔쳐볼 수 있는 보안 결함입니다. 최신 버전으로 업데이트하거나 설정을 변경하여 이를 막아야 합니다.
🇺🇸 원문 (English)
matrix-appservice-irc is a Node.js IRC bridge for Matrix. Prior to version 1.0.1, it was possible to craft an event such that it would leak part of a targeted message event from another bridged room. This required knowing an event ID to target. Version 1.0.1n fixes this issue. As a workaround, set the `matrixHandler.eventCacheSize` config value to `0`. This workaround may impact performance.
📍 영향받는 시스템
matrix-appservice-irc 1.0.1 미만 버전
⚔️ 공격 벡터
타겟팅된 메시지 이벤트 ID를 이용한 이벤트 조작을 통한 정보 유출
🛡️ 대응 방법
matrix-appservice-irc를 1.0.1 버전 이상으로 업데이트하거나, 설정값 matrixHandler.eventCacheSize를 0으로 변경
🔧 검증 코드
출력된 버전이 1.0.1 미만인지 확인하여 취약 여부를 판단합니다.
npm list matrix-appservice-irc