Vulnerabilidad en Synapse (CVE-2024-37302)

Synapse es un servidor doméstico Matrix de código abierto. Las versiones de Synapse anteriores a la 1.106 son vulnerables a un ataque de llenado de disco, en el que un adversario no autenticado puede inducir a Synapse a descargar y almacenar en caché grandes cantidades de medios remotos. La estrategia de límite de velocidad predeterminada no es suficiente para mitigar esto. Esto puede provocar una denegación de servicio, que puede ir desde el fallo de las futuras cargas/descargas de medios hasta la indisponibilidad total del proceso Synapse, según cómo se haya implementado Synapse. Synapse 1.106 introduce un nuevo límite de velocidad de "depósito con fugas" en las descargas de medios remotos para reducir la cantidad de datos que un usuario puede solicitar a la vez. Esto no soluciona por completo el problema, pero sí limita la capacidad de un usuario no autenticado de solicitar que se almacenen en caché grandes cantidades de datos.