Update matrix-synapse to 1.23.0 to resolve CVE-2020-26890.

There may be breaking changes, please review prior to upgrade :

https://github.com/matrix-org/synapse/blob/develop/UPGRADE.rst

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

matrix-synapseを1.23.0に更新して、CVE-2020-26890を解決します。

最新の変更がある可能性があります。アップグレードの前に確認してください：

https://github.com/matrix-org/synapse/blob/develop/UPGRADE.rst

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 1.20.0 之前的 Matrix Synapse 在 m.room.member 事件的欄位中錯誤地允許非標準 NaN、Infinity 和 -Infinity JSON 值進而允許遠端攻擊者對同盟和一般 Matrix 用戶端執行拒絕服務攻擊。如果會議室狀態接受此類格式錯誤的事件則會造成長期持續影響且無法透過升級至較新版本的方式加以修正必須改為手動編輯事件。由於事件會復製到其他聊天室成員的伺服器，因此影響不限於事件傳送者的伺服器。 (CVE-2020-26890)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 1.20.0 之前版本的 Matrix Synapse 错误地允许在 m.room.member 事件的字段中使用非标准的 NaN、Infinity 和 -Infinity JSON 值从而允许远程攻击者对联合客户端和通用 Matrix 客户端执行拒绝服务攻击。如果此类畸形事件被接受到聊天室状态中其影响会是持久的且无法通过升级至更新版本来修复进而需要手动编辑该事件。由于事件会复制到其他聊天室成员的服务器因此影响并不限于事件发送者的服务器。 (CVE-2020-26890)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Matrix Synapse before 1.20.0 erroneously permits non-standard NaN, Infinity, and -Infinity JSON values in     fields of m.room.member events, allowing remote attackers to execute a denial of service attack against     the federation and common Matrix clients. If such a malformed event is accepted into the room's state, the     impact is long-lasting and is not fixed by an upgrade to a newer version, requiring the event to be     manually redacted instead. Since events are replicated to servers of other room members, the impact is not     constrained to the server of the event sender. (CVE-2020-26890)

Note that Nessus relies on the presence of the package as reported by the vendor.

matrix-synapseを1.23.0に更新して、CVE-2020-26890を解決します。

最新の変更がある可能性があります。アップグレードの前に確認してください：

https://github.com/matrix-org/synapse/blob/develop/UPGRADE.rst

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.20.0 より前の Matrix Synapse は、m.room.member イベントのフィールドで非標準の NaN、Infinity、および -Infinity JSON 値を誤って許可しています。これにより、リモートの攻撃者は、フェデレーションおよび共通の Matrix クライアントに対して DoS 攻撃サービス拒否攻撃を実行することができます。このような不正な形式のイベントがルームの状態で受け入れられた場合、影響は長期間、新しいバージョンへのアップグレードによって修正されないため、イベントを手動で修正する必要があります。イベントは他のルームメンバーのサーバーにレプリケートされるため、影響はイベント送信者のサーバーに制約されません。CVE-2020-26890

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
144031	Fedora 33 : matrix-synapse / python-canonicaljson (2020-2578d943d2)	Nessus	Fedora Local Security Checks	2020/12/10	2024/2/2	high
144031	Fedora 33：matrix-synapse / python-canonicaljson（2020-2578d943d2）	Nessus	Fedora Local Security Checks	2020/12/10	2024/2/2	high
257334	Linux Distros 未修補的弱點：CVE-2020-26890	Nessus	Misc.	2025/8/27	2025/8/27	high
257334	Linux Distros 未修补的漏洞：CVE-2020-26890	Nessus	Misc.	2025/8/27	2025/8/27	high
144045	Fedora 32 : matrix-synapse / python-authlib / python-canonicaljson / etc (2020-b90dac7fc4)	Nessus	Fedora Local Security Checks	2020/12/10	2024/2/2	high
257334	Linux Distros Unpatched Vulnerability : CVE-2020-26890	Nessus	Misc.	2025/8/27	2025/8/27	high
144045	Fedora 32：Matrix-Synapse / python-authlib / python-canonicaljson /など（2020-b90dac7fc4）	Nessus	Fedora Local Security Checks	2020/12/10	2024/2/2	high
257334	Linux Distros のパッチ未適用の脆弱性: CVE-2020-26890	Nessus	Misc.	2025/8/27	2025/8/27	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high