Vulnerabilidad en Matrix-react-sdk (CVE-2024-42347)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

06/08/2024

Última modificación:

12/08/2024

Descripción

Matrix-react-sdk es un SDK basado en reacción para insertar un cliente de chat/voip Matrix en una página web. Un servidor doméstico malicioso podría manipular los datos de la cuenta de un usuario para hacer que el cliente habilite vistas previas de URL en salas cifradas de extremo a extremo, en cuyo caso cualquier URL de los mensajes cifrados se enviaría al servidor. Esto fue parcheado en Matrix-react-sdk 3.105.0. Las implementaciones que confían en sus servidores domésticos, así como las federaciones cerradas de servidores confiables, no se ven afectadas. Se recomienda a los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno