Matrix erzielte gute Ergebnisse bei der Sicherheitsanalyse durch den BSI

Unsere Antworten auf die Analyse-Ergebnisse des BSI:

Gemeldete Schwachstellen aus der BSI Sicherheitsanalyse Studie „zur statischen Codeanalyse der Kommunikationssoftware Matrix“

• CVE-2023-45129 fixed ab v1.94.0

• CVE-2023-42453 fixed ab v1.93.0

• CVE-2023-41335 fixed ab v1.93.0

• CVE-2023-32683 fixed ab v1.85.0

• CVE-2023-32682 fixed ab v1.85.0

• CVE-2023-32323 fixed ab v1.74.0

• CVE-2022-41952 fixed ab v1.53.0

• CVE-2022-39374 fixed ab v1.68.0

Alle Synapse Server mit einer Version ab einschließlich 1.94.0 enthalten keine der in der Studie genannten Schwachstellen mehr.

Zu den Testergebnissen der detaillierten DAST-Analyse

E1.1 Synapse: Enumeration von Benutzernamen [niedrig]

• Enumeration von Benutzernamen und E-Mail Adressen (falls hinterlegt) weiterhin möglich

• „Auch wenn es kein unmittelbares Sicherheitsrisiko darstellt, kann ein Angreifer es für weitere Angriffsschritte, wie Brute-Force-Angriffe auf Nutzerpasswörter oder Social Engineering, ausnutzen.“

• Dieser Angriffsvektor wird zudem durch Rate-Limiting im Synapse massiv erschwert.

E2.1 Synapse: Triviale Passwörter erlaubt [info]

• Passwortrichtlinien werden nur clientseitig überprüft und durchgesetzt, dazu ist seitens Element kein Fix geplant¹ ²

• „Da der Nutzer den Registrierungs-Request, der zum Server geht, aktiv abfangen und verändern muss, um ein schwaches Passwort zu setzen, liefert das Finding nur eine Information.“

• Im Synapse-Server können ebenfalls Passwort-Richtlinien definiert werden, so das keine trivialen Passwörter mehr möglich sind. Des weiteren wird bei der Nutzung externer Authentifizierungs-Systeme wie LDAP, AD die Passwort-Richtlinie von diesen Systeme erzwungen.

E3.1 Synapse: Zugriff auf hochgeladene Dateien ohne Authentisierung möglich [niedrig]

• In unverschlüsselten Räumen können Dateien mit Kenntnis der ID auch ohne Authentifizierung heruntergeladen werden

• Gilt nur in unverschlüsselten Räumen, zudem muss für den Zugriff auf die Dateien die URL bekannt sein. Diese URL wird mit genügend Entropie erstellt, so dass die Ausnutzbarkeit dieser Lücke als eher unwahrscheinlich einzustufen ist.

E3.2 Synapse: Zugriff auf Server-Version ohne Authentisierung möglich [niedrig]

• Informationen über die Version eingesetzter Softwareprodukte könnten genutzt werden um weitere Angriffsvektoren zu identifizieren.

• Wir beobachten die Entwicklung des Synapse-Servers sehr genau, sobald hierfür ein Fix verfügbar ist, werden wir diesen installieren.

E4.1 Synapse: Normal privilegierte Nutzer können Umfragen beenden [niedrig]

• Nur möglich mit Kenntnis der Raum-ID und der Umfrage-ID.

E5.1 Synapse: Logging von Passwort-Reset-Informationen [niedrig]

• „Mit Zugriff auf die Logs des Synapse-Servers kann man unter Umständen die Passwörter von Nutzern auf ein beliebiges, selbst gewähltes Passwort ändern. Dafür muss man jedoch den Nutzer überzeugen, auf den zugeschickten Passwort-Reset-Link zu klicken oder auf ein Fehlverhalten des Nutzers warten.“

• Zugriff auf die Logs haben i.d.R. nur die Administratoren des Servers. Trotzdem ist dies  tatsächlich recht inkonsequent im Synapse umgesetzt. Teilweise werden sensitive Informationen Redacted und teilweise nicht. Hier hoffen wir auf einen Fix der Entwickler.

   

E6.1 Synapse: URL-Deny-List-Bypass bei der Generierung von URL-Previews [niedrig]

• klassifiziert als CVE-2023-32683 und ab einschließlich der Version 1.85.0 behoben

   

E7.1 Synapse: Lange Gültigkeit der Session [niedrig]

• Die Einstellung session_lifetime sollte in der Konfigurationsdatei homeserver.yaml reduziert werden, die Standarteinstellung ist weiterhin unendlich.

• Die Session Lifetime lässt sich in der Konfiguration des Synapse-Servers nach Belieben konfigurieren.

   

E8.1 Synapse: Datei-Upload erlaubt beliebiges Dateiformat [info]

• „Die fehlende Überprüfung des Dateiformats spielt nur bei nicht verschlüsselten Räumen eine Rolle.“

• Hier bietet der Matrix Content Scanner Abhilfe. Durch den Einsatz dieses Tools kann sowohl der Mime-Type geprüft werden, als auch Uploads nach Viren gescannt werden.

E9.1 Synapse: Keine Virenüberprüfung beim Datei-Upload [info]

• „Die fehlende Überprüfung des Dateiformats spielt nur bei nicht verschlüsselten Räumen eine Rolle.“

• Siehe E8.1

   

E10.1 Element: Keine Auslieferung des X-Frame-Options Headers [info]

• Die Anwendung schützt Nutzer nicht vor Clickjacking-Angriffen. Ein iFrame könnte mit beliebigem Inhalt überlagert werden, was Nutzer dazu bringen könnte, unwissend mit der Anwendung zu interagieren

• Um jede Art von Framing zu verhindern, sollte der folgende Header gesetzt werden:
  

  Content-Security-Policy:
frame-ancestors 'none';

• Aus unserer Sicht ist dies keine Problem des Homeservers bzw. von Element, sondern viel mehr eins des verwendeten Reverse-Proxies (Nginx, Haproxy).
  

E11.1 Element, Synapse: HSTS-Header nicht implementiert [niedrig]

• Setze den folgenden Header in der NGINX-Konfiguration, um MITM-Angriffe zu verhindern:
  

  add_header Strict-Transport-Security “max-age=31536000; includeSubDomains” always;

• Siehe auch E10.1.

E12.1 Element, Synapse: MIME-Sniffing Angriffe potenziell möglich [info]

• Setze den folgenden Header in der NGINX-Konfiguration, um MIME-Sniffing zu verhindern:

  X-Content-Type-Options: nosniff

• Siehe auch E10.1.