Vulnerabilidad en matrix-appservice-irc (CVE-2022-39203)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-269 Gestión de privilegios incorrecta

Fecha de publicación:

13/09/2022

Última modificación:

16/09/2022

Descripción

matrix-appservice-irc es un puente IRC Node.js de código abierto para Matrix. Los atacantes pueden especificar una cadena de caracteres específica, que confundiría al puente para combinar un canal propiedad del atacante y un canal existente, lo que les permitiría concederse permisos en el canal. La vulnerabilidad ha sido parcheada en matrix-appservice-irc versión 0.35.0. Como mitigación, los operadores pueden deshabilitar la unión dinámica de canales por medio de "dynamicChannels.enabled" para evitar que usuarios sean unidos a nuevos canales, lo que evita que puenteen nuevos canales fuera de los que ya están puenteados, y lo que es especificado en la configuración

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto