消息的截断内容可能会从matrix-appservice-irc中泄露（CVE-2024-32000）

CVE编号

CVE-2024-32000

利用情况

暂无

补丁情况

N/A

披露时间

2024-04-13

漏洞描述

matrix-appservice-irc是一个用于Matrix消息协议的Node.js IRC桥。在版本2.0.0之前的matrix-appservice-irc存在漏洞，如果恶意用户向不能访问的事件ID发送Matrix回复，可能会导致消息被泄漏。在发起攻击之前，恶意用户需要知道他们想要泄漏的消息的事件ID，并且必须加入到Matrix房间和它桥接到的IRC频道中。发生泄漏的消息回复会在发生时对IRC频道成员可见。matrix-appservice-irc 2.0.0在构建回复之前会检查用户是否有权限查看事件。管理员应升级到此版本。可以通过设置一个不包含原始消息的回复模板来限制泄漏的信息量。查看链接的配置文件中的601-604行。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/matrix-org/matrix-appservice-irc/blob/d5d67d1d3ea3f0f6962a...
https://github.com/matrix-org/matrix-appservice-irc/pull/1799
https://github.com/matrix-org/matrix-appservice-irc/security/advisories/GHSA-...

CVSS3评分 4.3

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 低
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com