Improper Verification of Cryptographic Signature in matrix-synapse

緊急 9.8CVE-2019-18835 · GHSA-cppw-2mf8-qpm5 · PYSEC-2019-186 · 08/11/2019 公開 · 17/06/2026 更新

要点

CVE-2019-18835 は matrix-synapse, synapse (matrix) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.86%（全脆弱性の 58.6% より高い）。
対処：1.5.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
matrix-synapse PyPI	`< 1.5.0`	`1.5.0`
synapse matrix	`< 1.5.0`	`1.5.0`

概要

Matrix Synapse before 1.5.0 mishandles signature checking on some federation APIs. Events sent over /send_join, /send_leave, and /invite may not be correctly signed, or may not come from the expected servers.

NVD の説明

Matrix Synapse before 1.5.0 mishandles signature checking on some federation APIs. Events sent over /send_join, /send_leave, and /invite may not be correctly signed, or may not come from the expected servers.