CVE-2026-24471: Homeserver Matrix continuwuity: assinatura de eventos arbitrários por servidor remoto malicioso

Visão geral

A CVE-2026-24471 é uma falha no continuwuity, um homeserver Matrix escrito em Rust, e em servidores derivados do Conduit. Segundo o registro, um servidor remoto malicioso pode levar o servidor local a assinar um evento arbitrário após uma ação do usuário, como sair de uma sala, entrar em uma sala ou solicitar entrada em uma sala. O CNA do GitHub atribuiu a fraqueza CWE-441 e a classificou como crítica.

Impacto

O vetor CVSS 4.0 registrado indica um ataque acessível pela rede, que não exige privilégios, mas exige interação do usuário. O vetor também marca alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável. Um servidor que assina eventos que não originou pode ter sua identidade de federação usada para produzir conteúdo que nunca pretendeu assinar.

Produtos e versões afetados

continuwuity: o registro indica que a correção está na versão 0.5.1.
Conduit: o registro indica que a correção está na versão 0.10.11.
Grapevine: o registro indica que a correção está no commit 0aae932b.
Tuwunel: o registro indica que a correção está na versão 1.4.9.
Servidores derivados do Conduit: a descrição afirma que todos são afetados.

O registro não lista faixas de versões afetadas, por isso não é possível determinar com precisão quais versões são vulneráveis a partir das fontes consultadas. As listas de produtos afetados e de correções estão vazias, e as informações vêm apenas da descrição.

Status de exploração

A vulnerabilidade não consta na lista KEV da CISA no registro analisado. A descrição afirma que a falha foi explorada como parte de uma cadeia maior contra o homeserver continuwuity.org. Não há confirmação de exploração ativa ou exploração na natureza nas fontes consultadas.

Correção e mitigação

Atualize o continuwuity para a versão 0.5.1 ou superior, o Conduit para a 0.10.11 ou superior e o Tuwunel para a 1.4.9 ou superior, e aplique o commit do Grapevine indicado no registro.
Confirme a correção adequada à sua distribuição lendo o aviso de segurança no GitHub e o commit referenciado.
Revise as políticas de federação e limite a federação a servidores confiáveis enquanto a correção não estiver aplicada, como redução de risco provisória.

Orientações de detecção

Revise os registros de federação e de membership de salas em busca de solicitações ou respostas de assinatura inesperadas envolvendo servidores remotos que você não costuma confiar.
Observe eventos de membership criados em torno de ações de saída, entrada ou solicitação de entrada que contenham valores incomuns de origem ou de timestamp, ou campos de conteúdo inesperados.
Monitore requisições de saída do seu servidor para servidores remotos durante essas ações e investigue picos envolvendo pares desconhecidos.

Limitações das informações disponíveis

O registro não fornece faixas de versões afetadas, entradas de produtos afetados por nível de produto, pontuação EPSS nem avaliação SSVC. O commit e o aviso referenciados não foram verificados nesta análise. O registro não descreve a cadeia mais ampla contra o continuwuity.org nem seu impacto.

Perguntas frequentes

O que é a CVE-2026-24471?

É uma falha em servidores Matrix continuwuity e derivados do Conduit, na qual um servidor remoto malicioso pode levar o servidor local a assinar um evento arbitrário após o usuário sair, entrar ou solicitar entrada em uma sala.

Quais versões corrigem o problema?

O registro indica correções no continuwuity 0.5.1, no Conduit 0.10.11, no commit 0aae932b do Grapevine e no Tuwunel 1.4.9. Consulte o aviso no GitHub para os detalhes oficiais.

Esta vulnerabilidade é explorada ativamente?

O registro não a lista no KEV da CISA. A descrição afirma que ela foi usada como parte de uma cadeia maior contra o continuwuity.org, mas a exploração ativa não é confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.