CVE-2022-31052

Synapse es una implementación de servidor doméstico de código abierto para la red de chat Matrix. En versiones anteriores a 1.61.1, las previsualizaciones de URL de algunas páginas web pueden agotar el espacio de pila disponible para el proceso de Synapse debido a una recursión sin límites. Esto a veces es recuperable y conlleva a un error para la petición que causa el problema, pero en otros casos el proceso de Synapse puede bloquearse por completo. Es posible explotar esto de forma maliciosa, ya sea por usuarios maliciosos en el servidor doméstico, o por usuarios remotos que envían URLs para las que el cliente de un usuario local puede solicitar automáticamente una visualización previa de la URL. Los usuarios remotos no son capaces de explotar esto directamente, porque el endpoint de la visualización previa de la URL está autenticado. Los despliegues con "url_preview_enabled: false" establecidos en la configuración no están afectados. Los despliegues con "url_preview_enabled: true" establecido en la configuración **están** afectados. Los despliegues sin valor de configuración para "url_preview_enabled" no están afectados, porque el valor por defecto es "false". Es recomendado a administradores de servidores domésticos con visualizaciones previas de URL habilitadas que actualicen a versión v1.61.1 o superior. Los usuarios que no puedan actualizarse deben establecer "url_preview_enabled" en false