There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Synapse is an open-source Matrix homeserver. Synapse before version 1.106 allows, by design,
    unauthenticated remote participants to trigger a download and caching of remote media from a remote
    homeserver to the local media repository. Such content then also becomes available for download from the
    local homeserver in an unauthenticated way. The implication is that unauthenticated remote adversaries can
    use this functionality to plant problematic content into the media repository. Synapse 1.106 introduces a
    partial mitigation in the form of new endpoints which require authentication for media downloads. The
    unauthenticated endpoints will be frozen in a future release, closing the attack vector. (CVE-2024-37303)

There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Synapse is an open-source Matrix homeserver. Synapse versions before 1.106 are vulnerable to a disk fill
    attack, where an unauthenticated adversary can induce Synapse to download and cache large amounts of
    remote media. The default rate limit strategy is insufficient to mitigate this. This can lead to a denial
    of service, ranging from further media uploads/downloads failing to completely unavailability of the
    Synapse process, depending on how Synapse was deployed. Synapse 1.106 introduces a new "leaky bucket" rate
    limit on remote media downloads to reduce the amount of data a user can request at a time. This does not
    fully address the issue, but does limit an unauthenticated user's ability to request large amounts of data
    to be cached. (CVE-2024-37302)

  - Synapse is an open-source Matrix homeserver. Synapse before version 1.106 allows, by design,
    unauthenticated remote participants to trigger a download and caching of remote media from a remote
    homeserver to the local media repository. Such content then also becomes available for download from the
    local homeserver in an unauthenticated way. The implication is that unauthenticated remote adversaries can
    use this functionality to plant problematic content into the media repository. Synapse 1.106 introduces a
    partial mitigation in the form of new endpoints which require authentication for media downloads. The
    unauthenticated endpoints will be frozen in a future release, closing the attack vector. (CVE-2024-37303)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Synapse 是开源 Matrix 主服务器。 1.106 之前的 Synapse 版本设计允许未经认证的远程参与者触发将远程媒体从远程主服务器下载并缓存到本地媒体存储库。然后，此类内容也可供以未经身份验证的方式从本地主服务器下载。这意味着未经身份验证的远程攻击者可利用此功能将有问题的内容植入媒体存储库。Synapse 1.106 以新端点的形式引入部分缓解措施，需要对媒体下载进行身份验证。未经身份验证的端点将在未来的版本中冻结，以关闭攻击载体。 (CVE-2024-37303)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Synapse 是開放原始碼的 Matrix 主伺服器。 1.106 版之前的 Synapse 在設計上允許未經驗證的遠端參與者觸發遠端媒體從遠端主伺服器下載并快取至本機媒體存放庫。然後，這些內容也可以未經驗證的方式從本機主伺服器下載。這表示未經驗證的遠端攻擊者可利用此功能，將有問題的內容植入媒體存放庫。Synapse 1.106 以要求媒體下載驗證的新端點形式引入部分緩解措施。未經驗證的端點將在未來版本中凍結，進而關閉攻擊向量。 (CVE-2024-37303)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Synapse は、オープンソースの Matrix ホームサーバーです。バージョン 1.106 より前の Synapse では、設計上、認証されていないリモートの参加者が、リモートのホームサーバーからローカルのメディアリポジトリへのリモートメディアのダウンロードおよびキャッシングをトリガーすることが可能です。そのようなコンテンツは、認証されていない方法でローカルホームサーバーからダウンロードできるようになります。認証されていないリモートの攻撃者がこの機能を使用して、問題のあるコンテンツをメディアリポジトリに植え込む可能性があります。Synapse 1.106 は、メディアダウンロードの認証を必要とする新しいエンドポイントの形式で、部分的な緩和策を導入しています。認証されていないエンドポイントは将来のリリースでフリーズされ、攻撃経路を閉じる予定です。 （CVE-2024-37303）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、71f3e9f0-bafc-11ef-885d-901b0e934d69 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    element-hq/synapse 開発者による報告:
    [1.120.1] リリースでは、複数のセキュリティの脆弱性を修正しています。一部の脆弱性は、以前のすべてのバージョンの Synapse に影響を与えています。サーバー管理者は、ただちに Synapse を更新することが推奨されています。弊社は、これらの脆弱性が野放しで悪用されているとは認識していません。
    Synapse を更新できない管理者は、以下にリンクされている GitHub セキュリティアドバイザリで説明されている回避策を使用することができます。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Synapse is an open-source Matrix homeserver. Synapse before version 1.106 allows, by design,     unauthenticated remote participants to trigger a download and caching of remote media from a remote     homeserver to the local media repository. Such content then also becomes available for download from the     local homeserver in an unauthenticated way. The implication is that unauthenticated remote adversaries can     use this functionality to plant problematic content into the media repository. Synapse 1.106 introduces a     partial mitigation in the form of new endpoints which require authentication for media downloads. The     unauthenticated endpoints will be frozen in a future release, closing the attack vector. (CVE-2024-37303)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 71f3e9f0-bafc-11ef-885d-901b0e934d69 advisory.

    element-hq/synapse developers report:
    [The 1.120.1] release fixes multiple security                     vulnerabilities, some affecting all prior versions of                     Synapse. Server administrators are encouraged to                     update Synapse as soon as possible. We are not aware                     of these vulnerabilities being exploited in the                     wild.
    Administrators who are unable to update Synapse may                     use the workarounds described in the linked GitHub                     Security Advisory below.

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
415176	SCA: security update for matrix-synapse (GHSA-gjgr-7834-rhxr)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	medium
415176	SCA: security update for matrix-synapse (GHSA-gjgr-7834-rhxr)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	medium
426248	Alpine: multiple synapse packages: security update to 1.110.0-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	5/16/2025	7/2/2026	high
426248	Alpine: multiple synapse packages: security update to 1.110.0-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	5/16/2025	7/2/2026	high
234210	Linux Distros 未修补的漏洞：CVE-2024-37303	Nessus	Misc.	4/11/2025	8/11/2026	medium
234210	Linux Distros 未修補的弱點：CVE-2024-37303	Nessus	Misc.	4/11/2025	8/11/2026	medium
234210	Linux Distros のパッチ未適用の脆弱性: CVE-2024-37303	Nessus	Misc.	4/11/2025	8/11/2026	medium
213068	FreeBSD : py-matrix-synapse -- 1.120.1 より前のバージョンにある複数の脆弱性 (71f3e9f0-bafc-11ef-885d-901b0e934d69)	Nessus	FreeBSD Local Security Checks	12/17/2024	8/27/2025	high
234210	Linux Distros Unpatched Vulnerability : CVE-2024-37303	Nessus	Misc.	4/11/2025	8/11/2026	medium
213068	FreeBSD : py-matrix-synapse -- multiple vulnerabilities in versions prior to 1.120.1 (71f3e9f0-bafc-11ef-885d-901b0e934d69)	Nessus	FreeBSD Local Security Checks	12/17/2024	8/27/2025	high

Detections

Analytics

Plugins Search

medium

medium

high

high

medium

medium

medium

high

medium

high