Vulnerabilidad en Matrix Media Repo (MMR) (CVE-2024-56515)

Matrix Media Repo (MMR) es un repositorio multimedia para múltiples servidores domésticos altamente configurable para Matrix. Si los generadores de miniaturas SVG o JPEGXL están habilitados (están deshabilitados de manera predeterminada), un usuario puede cargar un archivo que diga ser de cualquiera de estos tipos y solicitar una miniatura para invocar un decodificador diferente en ImageMagick. En algunas instalaciones de ImageMagick, esto incluye la capacidad de ejecutar Ghostscript para decodificar la imagen/archivo. Si los generadores de miniaturas MP4 están habilitados (también deshabilitados de manera predeterminada), puede ocurrir el mismo problema mencionado anteriormente con la instalación de ffmpeg. MMR usa otros decodificadores para todos los demás tipos de archivos al preparar miniaturas. Es posible que surjan problemas teóricos con estos decodificadores, sin embargo, en las pruebas no fue posible explotarlos. Esto se solucionó en MMR v1.3.8. MMR ahora inspecciona el tipo MIME de los medios antes de crear miniaturas y elige un generador de miniaturas en función de esos resultados en lugar de depender de los valores proporcionados por el usuario. Esto puede generar menos miniaturas cuando se usan formas de archivo poco conocidas. Esto también ayuda a limitar el alcance de los problemas teóricos con todos los decodificadores que utiliza MMR para las miniaturas. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar pueden deshabilitar los tipos de miniatura SVG, JPEGXL y MP4 en la configuración de MMR, lo que evita que se invoquen los decodificadores. Se recomienda deshabilitar aún más los tipos de archivos poco comunes en el servidor para limitar la superficie de riesgo. También se pueden usar contenedores y otras tecnologías similares para limitar el impacto de las vulnerabilidades en decodificadores externos, como ImageMagick y ffmpeg. Algunas instalaciones de ImageMagick ya pueden deshabilitar los tipos de archivos "inseguros", como los PDF. Esta opción se puede replicar en otros entornos según sea necesario. ffmpeg se puede compilar con decodificadores/códecs limitados. La imagen de Docker para MMR deshabilita los PDF y formatos similares de forma predeterminada.