Iniciar sesión
Deutsch English Español Polski
Media

Denial of service attack via push rule patterns in matrix-synapse

  • Publicada: 11.05.2021
  • Actualizado: 11.10.2026 13:19

Impact

"Push rules" can specify conditions under which they will match, including event_match, which matches event content against a pattern including wildcards.

Certain patterns can cause very poor performance in the matching engine, leading to a denial-of-service when processing moderate length events.

Patches

The issue is patched by https://github.com/matrix-org/synapse/commit/03318a766cac9f8b053db2214d9c332a977d226c.

Workarounds

A potential workaround might be to prevent users from making custom push rules, by blocking such requests at a reverse-proxy.

For more information

If you have any questions or comments about this advisory, email us at security@matrix.org.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) matrix-synapse < 1.33.2 1.33.2

Referencias

Puntuación CVSS 3.7/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
Debilidad (CWE)
CWE-331, CWE-400
Plataforma
Python (PyPI)
Paquete
matrix-synapse
Publicada
11.05.2021
Actualizado
11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2021-135 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-x345-32rc-8h85 - CC BY 4.0

Historial de vulnerabilidades: matrix-synapse

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (45) en el archivo
Entradas en total
45
Primera → última
03.2019 05.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Alta 21
  • Media 21
  • Baja 3

Divulgaciones por año

Gravedad:
  1. Synapse CPU starvation (Denial of Service)
    Alta · 5.5 CVE-2026-45078 < 1.152.1 1.152.1
  2. Synapse vulnerable to federation denial of service via malformed events
    Alta · 7.1 CVE-2025-30355 < 1.127.1 1.127.1
  3. Synapse can be forced to thumbnail unexpected file formats, invoking external, potentially untrustworthy decoders
    Alta CVE-2024-53863 < 1.120.1 1.120.1
  4. Synapse allows a a malformed invite to break the invitee's `/sync`
    Alta CVE-2024-52815 < 1.120.1 1.120.1
  5. Synapse allows unsupported content types to lead to memory exhaustion
    Alta CVE-2024-52805 < 1.120.1 1.120.1
  6. Synapse denial of service through media disk space consumption
    Alta · 7.5 CVE-2024-37302 < 1.106 1.106
  7. Synapse Denial of service due to incorrect application of event authorization rules during state resolution
    Alta · 6.5 CVE-2022-39374 >= 1.62.0, < 1.68.0rc1 1.68.0rc1
  8. Synapse does not apply enough checks to servers requesting auth events of events in a room
    Alta · 5.0 CVE-2022-39335 < 1.69.0 1.69.0
  9. Denial of service due to incorrect application of event authorization rules
    Alta · 7.5 CVE-2022-31152 < 1.62.0rc1 1.62.0rc1
  10. URL previews of unusual or maliciously-crafted pages can crash Synapse media repositories or Synapse monoliths
    Alta · 6.5 CVE-2022-31052 < 1.61.1 1.61.1
  11. Matrix Synapse DoS
    Alta · 7.5 CVE-2018-10657 < 0.28.1 0.28.1
  12. Matrix Synapse Improper Signature Validation
    Alta · 8.8 CVE-2018-16515 >= 0.33.3, < 0.33.3.1, < 0.33.2.1 0.33.3.1, 0.33.2.1
  13. Matrix Synapse Authorization Error
    Alta · 7.5 CVE-2018-12423 < 0.31.2 0.31.2
  14. Matrix Synapse Security Filtering Flaw
    Alta · 7.5 CVE-2018-12291 < 0.31.1 0.31.1
  15. Path traversal in Matrix Synapse
    Alta · 7.5 CVE-2021-41281 < 1.47.1 1.47.1
  16. Denial of service attack via push rule patterns in matrix-synapse esta entrada
    Media · 3.7 CVE-2021-29471 < 1.33.2 1.33.2
  17. Open redirect via transitional IPv6 addresses on dual-stack networks
    Alta · 6.3 CVE-2021-21392 < 1.28.0rc1 1.28.0rc1
  18. Denial of service attack via incorrect parameters in Matrix Synapse
    Alta · 6.5 CVE-2020-26257 < 1.23.1 1.23.1
  19. Denial of service attack due to invalid JSON
    Alta · 7.5 CVE-2020-26890 < 1.20.0 1.20.0
  20. Improper Verification of Cryptographic Signature in matrix-synapse
    Alta · 8.6 CVE-2019-18835 < 1.5.0 1.5.0
  21. matrix-sydent and matrix-synapse Use Cryptographically Weak PRNG
    Alta · 7.5 CVE-2019-11842 < 0.99.3.1 0.99.3.1
  22. Matrix Synapse before 0.34.0.1, when the macaroon_secret_key authentication parameter is not set, uses a predictable value to derive a secret key and other secrets which could allow remote attackers t
    Alta · 7.5 CVE-2019-5885 < 0.34.0.1 0.34.0.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.