🇰🇷 한글 설명
Synapse Matrix 홈서버의 1.138.3 미만 버전 및 1.139.0 버전에서 디바이스 키 검증 미흡으로 인해 발생하는 취약점입니다. 공격자가 피해 홈서버에 등록된 상태에서 연합 기능을 저하시켜 다른 홈서버로의 외부 연합 통신을 예측 불가능하게 차단할 수 있습니다.
💡 쉬운 설명
서버에 등록된 사용자가 악의적인 키를 사용하여 서버의 외부 통신 기능을 망가뜨릴 수 있는 문제입니다. 이로 인해 다른 서버와 메시지를 주고받는 기능이 갑자기 중단될 수 있습니다.
🇺🇸 원문 (English)
Synapse is an open source Matrix homeserver implementation. Lack of validation for device keys in Synapse before 1.138.3 and in Synapse 1.139.0 allow an attacker registered on the victim homeserver to degrade federation functionality, unpredictably breaking outbound federation to other homeservers. The issue is patched in Synapse 1.138.3, 1.138.4, 1.139.1, and 1.139.2. Note that even though 1.138.3 and 1.139.1 fix the vulnerability, they inadvertently introduced an unrelated regression. For this reason, the maintainers of Synapse recommend skipping these releases and upgrading straight to 1.138.4 and 1.139.2.
📍 영향받는 시스템
Synapse < 1.138.3 및 Synapse 1.139.0
⚔️ 공격 벡터
피해 홈서버에 등록된 공격자가 검증되지 않은 디바이스 키를 사용하여 연합 기능을 방해함
🛡️ 대응 방법
Synapse 버전을 1.138.4 또는 1.139.2 이상으로 즉시 업그레이드 (1.138.3 및 1.139.1은 회귀 오류가 포함되어 있으므로 권장하지 않음)
🔧 검증 코드
출력된 버전이 1.138.4 또는 1.139.2 이상인지 확인하여 취약점 여부를 판단합니다.
python3 -c 'import synapse; print(synapse.__version__)' 2>/dev/null || echo 'Version check failed'