Vulnerabilidades de Continuwuity

continuwuity é um homeserver Matrix escrito em Rust. Esta vulnerabilidade permite que um atacante com um servidor remoto malicioso faça com que o servidor local assine um evento arbitrário mediante interação do usuário. Quando uma conta de usuário deixa uma sala (rejeitando um convite), entra em uma sala ou solicita entrada em uma sala (knock), o servidor vítima pode pedir assistência a um servidor remoto. Se a vítima pedir assistência ao servidor do atacante, o atacante pode fornecer um evento arbitrário, que a vítima assinará e devolverá ao atacante. Para o endpoint /leave, isso funciona para qualquer evento com uma versão de sala suportada, em que origin e origin_server_ts são definidos pela vítima. Para o endpoint /join, é necessário um campo content definido pela vítima no formato de membership de join. Para o endpoint /knock, é necessário um campo content adicional definido pela vítima no formato de membership de knock e uma versão de sala que não esteja entre 1 e 6. Isso foi explorado como parte de uma cadeia maior contra o homeserver continuwuity.org. Esta vulnerabilidade afeta todos os servidores derivados do Conduit. Esta vulnerabilidade está corrigida no Continuwuity 0.5.1, Conduit 0.10.11, Grapevine 0aae932b e Tuwunel 1.4.9.

Conduit is a chat server powered by Matrix. A vulnerability that affects a number of Conduit-derived homeservers allows a remote, unauthenticated attacker to force the target server to cryptographically sign arbitrary membership events. Affected products include Conduit prior to version 0.10.10, continuwuity prior to version 0.5.0, Grapevine prior to commit `9a50c244`, and tuwunel prior to version 1.4.8. The flaw exists because the server fails to validate the origin of a signing request, provided the event's state_key is a valid user ID belonging to the target server. Attackers can forge "leave" events for any user on the target server. This forcibly removes users (including admins and bots) from rooms. This allows denial of service and/or the removal of technical protections for a room (including policy servers, if all users on the policy server are removed). Attackers can forge "invite" events from a victim user to themselves, provided they have an account on a server where there is an account that has the power level to send invites. This allows the attacker to join private or invite-only rooms accessible by the victim, exposing confidential conversation history and room state. Attackers can forge "ban" events from a victim user to any user below the victim user's power level, provided the victim has the power level to issue bans AND the target of the ban resides on the same server as the victim. This allows the attacker to ban anyone in a room who is on the same server as the vulnerable one, however cannot exploit this to ban users on other servers or the victim themself. Conduit fixes the issue in version 0.10.10. continuwuity fixes the issue in commits `7fa4fa98` and `b2bead67`, released in 0.5.0. tuwunel fixes the issue in commit `dc9314de1f8a6e040c5aa331fe52efbe62e6a2c3`, released in 1.4.8. Grapevine fixes the issue in commit `9a50c2448abba6e2b7d79c64243bb438b351616c`. As a workaround, block access to the `PUT /_matrix/federation/v2/invite/{roomId}/{eventId}` endpoint using your reverse proxy.