CVE-2025-68667
KrytyczneStreszczenie
Conduit, serwer czatu oparty na Matrix, zawiera podatność umożliwiającą zdalnemu, nieuwierzytelnionemu atakującemu wymuszenie na serwerze podpisania kryptograficznego dowolnych zdarzeń członkostwa. Podatność dotyczy wersji Conduit przed 0.10.10, continuwuity przed 0.5.0, Grapevine przed commit `9a50c244` oraz tuwunel przed 1.4.8. Błąd polega na braku walidacji pochodzenia żądania podpisu, jeśli state_key zdarzenia jest prawidłowym identyfikatorem użytkownika należącym do serwera docelowego. Atakujący mogą sfałszować zdarzenia "leave" dla dowolnego użytkownika, co wymusza usunięcie użytkowników (w tym administratorów i botów) z pokoi, prowadząc do odmowy usługi lub usunięcia zabezpieczeń technicznych pokoju. Mogą również sfałszować zdarzenia "invite" od ofiary do siebie, jeśli mają konto na serwerze, gdzie...
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataków DoS poprzez usunięcie administratorów i botów z pokoi, co może zakłócić działanie usług czatu i usunąć ochronę techniczną pokoi, w tym serwery polityk.
Rekomendacja
Zaleca się natychmiastową aktualizację Conduit do wersji 0.10.10 lub nowszej, continuwuity do 0.5.0 lub nowszej, Grapevine do commita `9a50c244` lub nowszego oraz tuwunel do 1.4.8 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Conduit is a chat server powered by Matrix. A vulnerability that affects a number of Conduit-derived homeservers allows a remote, unauthenticated attacker to force the target server to cryptographically sign arbitrary membership events. Affected products include Conduit prior to version 0.10.10, continuwuity prior to version 0.5.0, Grapevine prior to commit `9a50c244`, and tuwunel prior to version 1.4.8. The flaw exists because the server fails to validate the origin of a signing request, provided the event's state_key is a valid user ID belonging to the target server. Attackers can forge "leave" events for any user on the target server. This forcibly removes users (including admins and bots) from rooms. This allows denial of service and/or the removal of technical protections for a room (including policy servers, if all users on the policy server are removed). Attackers can forge "invite" events from a victim user to themselves, provided they have an account on a server where there is