p PatchFirst

CVE-2021-29431

CVE-2021-29431 · SSRF in Sydent due to missing validation of hostnames

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Sydent is a reference Matrix identity server. Sydent can be induced to send HTTP GET requests to internal systems, due to lack of parameter validation or IP address blacklisting. It is not possible to exfiltrate data or control request headers, but it might be possible to use the attack to perform an internal port enumeration. This issue has been addressed in in 9e57334, 8936925, 3d531ed, 0f00412. A potential workaround would be to use a firewall to ensure that Sydent cannot reach internal HTTP resources.

CVSS 7.7 · Élevée · EPSS 1,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • sydent

    Versions du logiciel
    • < 2.3.0: Concernée

    Aucun correctif publié

  • matrix-sydent PyPI

    Versions du logiciel
    • 2.0.0
    • 2.0.1
    • 2.1.0
    • 2.2.0
    Plages de versions concernées
    • ECOSYSTEM: < 2.3.0

    Mettez à jour vers 2.3.0

  • matrix-sydent PyPI

    Versions du logiciel
    • 2.0.0
    • 2.0.1
    • 2.1.0
    • 2.2.0
    Plages de versions concernées
    • {"events": [{"introduced": "0"}, {"fixed": "3d531ed50d2fd41ac387f36d44d3fb2c62dd22d3"}, {"fixed": "0f00412017f25619bc36c264b29ea96808bf310a"}, {"fixed": "9e573348d81df8191bbe8c266c01999c9d57cd5f"}, {"fixed": "8936925f561b0c352c2fa922d5097d7245aad00a"}], "repo": "https://github.com/matrix-org/sydent", "type": "GIT"}
    • ECOSYSTEM: < 2.3.0

    Mettez à jour vers 2.3.0

Sources originales

Vérifiez votre serveur →