There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Synapse is an open-source Matrix homeserver. Synapse versions before 1.106 are vulnerable to a disk fill
    attack, where an unauthenticated adversary can induce Synapse to download and cache large amounts of
    remote media. The default rate limit strategy is insufficient to mitigate this. This can lead to a denial
    of service, ranging from further media uploads/downloads failing to completely unavailability of the
    Synapse process, depending on how Synapse was deployed. Synapse 1.106 introduces a new "leaky bucket" rate
    limit on remote media downloads to reduce the amount of data a user can request at a time. This does not
    fully address the issue, but does limit an unauthenticated user's ability to request large amounts of data
    to be cached. (CVE-2024-37302)

There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Synapse is an open-source Matrix homeserver. Synapse versions before 1.106 are vulnerable to a disk fill
    attack, where an unauthenticated adversary can induce Synapse to download and cache large amounts of
    remote media. The default rate limit strategy is insufficient to mitigate this. This can lead to a denial
    of service, ranging from further media uploads/downloads failing to completely unavailability of the
    Synapse process, depending on how Synapse was deployed. Synapse 1.106 introduces a new "leaky bucket" rate
    limit on remote media downloads to reduce the amount of data a user can request at a time. This does not
    fully address the issue, but does limit an unauthenticated user's ability to request large amounts of data
    to be cached. (CVE-2024-37302)

  - Synapse is an open-source Matrix homeserver. Synapse before version 1.106 allows, by design,
    unauthenticated remote participants to trigger a download and caching of remote media from a remote
    homeserver to the local media repository. Such content then also becomes available for download from the
    local homeserver in an unauthenticated way. The implication is that unauthenticated remote adversaries can
    use this functionality to plant problematic content into the media repository. Synapse 1.106 introduces a
    partial mitigation in the form of new endpoints which require authentication for media downloads. The
    unauthenticated endpoints will be frozen in a future release, closing the attack vector. (CVE-2024-37303)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Synapse 是开源 Matrix 主服务器。 1.106 之前的 Synapse 版本容易受到磁盘填充攻击，其中未经身份验证的攻击者可诱使 Synapse 下载并缓存大量远程媒体。默认速率限制策略不足以缓解此问题。这可导致拒绝服务，其范围从进一步媒体上传/下载失败到 Synapse 进程完全不可用，这取决于 Synapse 的部署方式。Synapse 1.106 在远程媒体下载中引入了新的漏桶速率限制，以减少用户一次可请求的数据量。其并未完全解决问题，而是限制了未经身份验证的用户请求缓存大量数据的能力。 (CVE-2024-37302)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Synapse 是開放原始碼的 Matrix 主伺服器。 1.106 之前的 Synapse 版本容易遭受磁碟填滿攻擊，其中未經驗證的攻擊者可誘使 Synapse 下載并快取大量遠端媒體。預設速率限制策略不足以減輕此問題。這可導致拒絕服務，範圍從進一步的媒體上傳/下載失敗到 Synapse 處理程序完全不可用，視 Synapse 的部署方式而定。Synapse 1.106 針對遠端媒體下載引入新的洩漏值區速率限制，以減少使用者一次可要求的資料量。這並未完全解決問題，但會限制未經驗證的使用者要求快取大量資料的能力。 (CVE-2024-37302)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Synapse は、オープンソースの Matrix ホームサーバーです。 1.106 より前のバージョンの Synapse は、ディスクフィル攻撃に対して脆弱であり、認証されていない攻撃者は、Synapse に大量のリモートメディアをダウンロードおよびキャッシュさせる可能性があります。デフォルトのレート制限戦略では、これを緩和するには不十分です。これにより、Synapse のデプロイ方法によっては、さらにメディアをアップロード/ダウンロードできないことや、Synapse プロセスを完全に利用できなくなることまで、さまざまなサービス拒否が引き起こされる可能性があります。Synapse 1.106 は、ユーザーが一度にリクエストできるデータ量を減らすために、リモートメディアダウンロードに新たな漏洩バケットレート制限を導入します。これは問題に完全に対処していませんが、認証されていないユーザーが大量のデータのキャッシュをリクエストする機能を制限します。 （CVE-2024-37302）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、71f3e9f0-bafc-11ef-885d-901b0e934d69 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    element-hq/synapse 開発者による報告:
    [1.120.1] リリースでは、複数のセキュリティの脆弱性を修正しています。一部の脆弱性は、以前のすべてのバージョンの Synapse に影響を与えています。サーバー管理者は、ただちに Synapse を更新することが推奨されています。弊社は、これらの脆弱性が野放しで悪用されているとは認識していません。
    Synapse を更新できない管理者は、以下にリンクされている GitHub セキュリティアドバイザリで説明されている回避策を使用することができます。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Synapse is an open-source Matrix homeserver. Synapse versions before 1.106 are vulnerable to a disk fill     attack, where an unauthenticated adversary can induce Synapse to download and cache large amounts of     remote media. The default rate limit strategy is insufficient to mitigate this. This can lead to a denial     of service, ranging from further media uploads/downloads failing to completely unavailability of the     Synapse process, depending on how Synapse was deployed. Synapse 1.106 introduces a new leaky bucket rate     limit on remote media downloads to reduce the amount of data a user can request at a time. This does not     fully address the issue, but does limit an unauthenticated user's ability to request large amounts of data     to be cached. (CVE-2024-37302)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 71f3e9f0-bafc-11ef-885d-901b0e934d69 advisory.

    element-hq/synapse developers report:
    [The 1.120.1] release fixes multiple security                     vulnerabilities, some affecting all prior versions of                     Synapse. Server administrators are encouraged to                     update Synapse as soon as possible. We are not aware                     of these vulnerabilities being exploited in the                     wild.
    Administrators who are unable to update Synapse may                     use the workarounds described in the linked GitHub                     Security Advisory below.

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
410286	SCA: security update for matrix-synapse (GHSA-4mhg-xv73-xq2x)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	high
410286	SCA: security update for matrix-synapse (GHSA-4mhg-xv73-xq2x)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	high
426248	Alpine: multiple synapse packages: security update to 1.110.0-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	5/16/2025	7/2/2026	high
426248	Alpine: multiple synapse packages: security update to 1.110.0-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	5/16/2025	7/2/2026	high
234206	Linux Distros 未修补的漏洞：CVE-2024-37302	Nessus	Misc.	4/11/2025	8/11/2026	high
234206	Linux Distros 未修補的弱點：CVE-2024-37302	Nessus	Misc.	4/11/2025	8/11/2026	high
234206	Linux Distros のパッチ未適用の脆弱性: CVE-2024-37302	Nessus	Misc.	4/11/2025	8/11/2026	high
213068	FreeBSD : py-matrix-synapse -- 1.120.1 より前のバージョンにある複数の脆弱性 (71f3e9f0-bafc-11ef-885d-901b0e934d69)	Nessus	FreeBSD Local Security Checks	12/17/2024	8/27/2025	high
234206	Linux Distros Unpatched Vulnerability : CVE-2024-37302	Nessus	Misc.	4/11/2025	8/11/2026	high
213068	FreeBSD : py-matrix-synapse -- multiple vulnerabilities in versions prior to 1.120.1 (71f3e9f0-bafc-11ef-885d-901b0e934d69)	Nessus	FreeBSD Local Security Checks	12/17/2024	8/27/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high