There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Synapse before 1.52.0 with URL preview functionality enabled will attempt to generate URL previews for
    media stream URLs without properly limiting connection time. Connections will only be terminated after
    `max_spider_size` (default: 10M) bytes have been downloaded, which can in some cases lead to long-lived
    connections towards the streaming media server (for instance, Icecast). This can cause excessive traffic
    and connections toward such servers if their stream URL is, for example, posted to a large room with many
    Synapse instances with URL preview enabled. Version 1.52.0 implements a timeout mechanism which will
    terminate URL preview connections after 30 seconds. Since generating URL previews for media streams is not
    supported and always fails, 1.53.0 additionally implements an allow list for content types for which
    Synapse will even attempt to generate a URL preview. Upgrade to 1.53.0 to fully resolve the issue. As a
    workaround, turn off URL preview functionality by setting `url_preview_enabled: false` in the Synapse
    configuration file. (CVE-2022-41952)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 啟用 URL 預覽功能的 1.52.0 之前的 Synapse 會嘗試在未正確限制連線時間的情況下產生媒體串流 URL 的 URL 預覽。只有在下載 `max_spider_size` (預設 10M) 位元組之後才會終止連線這在某些情況下可導致連向串流媒體伺服器 (例如 Icecast) 的長效連線。例如如果將這類伺服器的串流 URL 發佈到具有許多 Synapse 執行個體且已啟用 URL 預覽的大型會議室這可能會造成流量和連線過多。 1.52.0 版實作逾時機制會在 30 秒後終止 URL 預覽連線。由於產生媒體資料流的 URL 預覽不受支援且一律失敗因此 1.53.0 額外實作了內容類型的允許清單其中 Synapse 甚至會嘗試產生 URL 預覽。升級至 1.53.0 可完全解決此問題。因應措施為設定 Synapse 設定檔中的 `url_preview_enabled: false`以關閉 URL 預覽功能。 (CVE-2022-41952)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 1.52.0 的启用了 URL 预览功能的 Synapse 之前版本将尝试为媒体流 URL 生成 URL 预览并且不会正确限制连接时间。连接只会在下载“max_spider_size”(默认: 10M) 字节后终止这在某些情况下会导致流媒体服务器例如 Icecast的长期连接。如果此类服务器的流 URL例如发布到包含许多启用 URL 预览的 Synapse 实例的大型空间则可导致此类服务器的流量和连接过多。版本 1.52.0 实现超时机制将在 30 秒后终止 URL 预览连接。由于不支持为媒体流生成 URL 预览而且总是失败[]。 1.53.0 还额外实现了 Synapse 甚至会尝试为其生成 URL 预览的内容类型的允许列表。升级到 1.53.0 以完全解决 该问题。解决方法是通过在 Synapse 配置文件中设置“url_preview_enabled: false”来关闭 URL 预览功能。 (CVE-2022-41952)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - URL プレビュー機能を有効にした 1.52.0 より前の Synapse は、接続時間を適切に制限することなく、メディアストリーム URL に対して URL プレビューを生成しようとします。接続は、「max_spider_size」デフォルト10Mバイトがダウンロードされた後にのみ終了します。これにより、場合によっては、ストリーミングメディアサーバーに対して長寿命の接続が発生する可能性があります例 Icecast。これにより、たとえば、ストリーム URL が、URL プレビューが有効になっている多くの Synapse インスタンスがある大きな空間に投稿された場合、こうしたサーバーに過剰なトラフィックと接続が発生する可能性があります。バージョン 1.52.0 は、URL プレビュー接続を 30 秒後に終了するタイムアウトメカニズムを実装します。メディアストリームに対する URL プレビューの生成はサポートされておらず、常に失敗するため、 1.53.0 はさらに、Synapse が URL プレビューの生成を試行するコンテンツタイプの許可リストを追加で実装します。 1.53.0 にアップグレードして、問題を完全に解決してください。回避策として、Synapse 構成ファイルで「url_preview_enabled: false」を設定して、URL プレビュー機能をオフにしてください。CVE-2022-41952

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Synapse before 1.52.0 with URL preview functionality enabled will attempt to generate URL previews for     media stream URLs without properly limiting connection time. Connections will only be terminated after     `max_spider_size` (default: 10M) bytes have been downloaded, which can in some cases lead to long-lived     connections towards the streaming media server (for instance, Icecast). This can cause excessive traffic     and connections toward such servers if their stream URL is, for example, posted to a large room with many     Synapse instances with URL preview enabled. Version 1.52.0 implements a timeout mechanism which will     terminate URL preview connections after 30 seconds. Since generating URL previews for media streams is not     supported and always fails, 1.53.0 additionally implements an allow list for content types for which     Synapse will even attempt to generate a URL preview. Upgrade to 1.53.0 to fully resolve the issue. As a     workaround, turn off URL preview functionality by setting `url_preview_enabled: false` in the Synapse     configuration file. (CVE-2022-41952)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
410036	SCA: security update for matrix-synapse (GHSA-4822-jvwx-w47h)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	medium
410036	SCA: security update for matrix-synapse (GHSA-4822-jvwx-w47h)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	medium
257536	Linux Distros 未修補的弱點：CVE-2022-41952	Nessus	Misc.	8/27/2025	8/11/2026	medium
257536	Linux Distros 未修补的漏洞：CVE-2022-41952	Nessus	Misc.	8/27/2025	8/11/2026	medium
257536	Linux Distros のパッチ未適用の脆弱性: CVE-2022-41952	Nessus	Misc.	8/27/2025	8/11/2026	medium
257536	Linux Distros Unpatched Vulnerability : CVE-2022-41952	Nessus	Misc.	8/27/2025	8/11/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium