There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Matrix is an ecosystem for open federated Instant Messaging and Voice over IP. In versions 1.41.0 and
    prior, unauthorised users can access the name, avatar, topic and number of members of a room if they know
    the ID of the room. This vulnerability is limited to homeservers where the vulnerable homeserver is in the
    room and untrusted users are permitted to create groups (communities). By default, only homeserver
    administrators can create groups. However, homeserver administrators can already access this information
    in the database or using the admin API. As a result, only homeservers where the configuration setting
    `enable_group_creation` has been set to `true` are impacted. Server administrators should upgrade to
    1.41.1 or higher to patch the vulnerability. There are two potential workarounds. Server administrators
    can set `enable_group_creation` to `false` in their homeserver configuration (this is the default value)
    to prevent creation of groups by non-administrators. Administrators that are using a reverse proxy could,
    with partial loss of group functionality, block the endpoints `/_matrix/client/r0/groups/{group_id}/rooms`
    and `/_matrix/client/unstable/groups/{group_id}/rooms`. (CVE-2021-39163)

  - Matrix is an ecosystem for open federated Instant Messaging and Voice over IP. In versions 1.41.0 and
    prior, unauthorised users can access the membership (list of members, with their display names) of a room
    if they know the ID of the room. The vulnerability is limited to rooms with `shared` history visibility.
    Furthermore, the unauthorised user must be using an account on a vulnerable homeserver that is in the
    room. Server administrators should upgrade to 1.41.1 or later in order to receive the patch. One
    workaround is available. Administrators of servers that use a reverse proxy could, with potentially
    unacceptable loss of functionality, block the endpoints: `/_matrix/client/r0/rooms/{room_id}/members` with
    `at` query parameter, and `/_matrix/client/unstable/rooms/{room_id}/members` with `at` query parameter.
    (CVE-2021-39164)

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Matrix is an ecosystem for open federated Instant Messaging and Voice over IP. In versions 1.41.0 and
    prior, unauthorised users can access the name, avatar, topic and number of members of a room if they know
    the ID of the room. This vulnerability is limited to homeservers where the vulnerable homeserver is in the
    room and untrusted users are permitted to create groups (communities). By default, only homeserver
    administrators can create groups. However, homeserver administrators can already access this information
    in the database or using the admin API. As a result, only homeservers where the configuration setting
    `enable_group_creation` has been set to `true` are impacted. Server administrators should upgrade to
    1.41.1 or higher to patch the vulnerability. There are two potential workarounds. Server administrators
    can set `enable_group_creation` to `false` in their homeserver configuration (this is the default value)
    to prevent creation of groups by non-administrators. Administrators that are using a reverse proxy could,
    with partial loss of group functionality, block the endpoints `/_matrix/client/r0/groups/{group_id}/rooms`
    and `/_matrix/client/unstable/groups/{group_id}/rooms`. (CVE-2021-39163)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Matrix 是開放式同盟即時訊息和 IP 語音的生態系統。在 1.41.0 版和更舊版本中若未經授權的使用者知道聊天室的 ID則其可存取聊天室中的名稱、虛擬人偶、主題和成員數量。此弱點僅限於有弱點的主伺服器位於會議室且允許未受信任的使用者建立群組 (社群) 的主伺服器。根據預設只有 homeserver 系統管理員可以建立群組。不過homeserver 系統管理員已可在資料庫中或使用 admin API 存取此資訊。因此只有組態設定 `enable_group_creation` 已設為 `true` 的 homeserver 會受到影響。伺服器管理員應升級至 1.41.1 或更高版本以修補弱點。有兩個可能的因應措施。伺服器管理員可在主伺服器組態中將 `enable_group_creation` 設定為 `false` (此為預設值)以防止非管理員建立群組。使用反向代理伺服器的系統管理員可在遺失部分群組功能的情況下封鎖端點「/_matrix/client/r0/groups/{group_id}/rooms」和「/_matrix/client/unstable/groups/{group_id}/ rooms`。 (CVE-2021-39163)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Matrix 是一个用于开放联合即时消息和 IP 语音的生态系统。在版本 1.41.0 和更早版本中未经授权的用户如果知道聊天室 ID 便可访问聊天室的姓名、头像、主题和成员数量。此漏洞仅限于家用服务器其中易受攻击的家用服务器在空间中并且允许未受信任的用户创建群组。默认情况下只有 homeserver 管理员可以创建组。但是，homeserver 管理员已经可以使用 管理 API 在数据库中访问此信息。因此只有配置设置 `enable_group_creation` 已设为 `true` 的 homeserver 会受到影响。服务器管理员应升级到 1.41.1 或更高版本以修补漏洞。有两种潜在的变通方案。服务器管理员可以在其 Homeserver 配置中将“enable_group_creation”设置为“false”（这是默认值），以防止非管理员创建群组。在部分群组功能丢失的情况下使用反向代理的管理员可阻止端点“/_matrix/client/r0/groups/{group_id}/rooms”和“/_matrix/client/unstable/groups/{group_id}/” rooms`。 (CVE-2021-39163)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Matrix は、オープンフェデレーションの Instant Messaging および Voice over IP のエコシステムです。バージョン 1.41.0 およびそれ以前では、権限のないユーザーがルームの ID を知っている場合、ルームの名前、アバター、トピックおよびメンバー数にアクセスできます。この脆弱性は、脆弱なホームサーバーがルーム内にあり、信頼できないユーザーがグループコミュニティを作成することが許可されているホームサーバーに限定されます。デフォルトでは、ホームサーバーの管理者のみがグループを作成できます。しかし、ホームサーバーの管理者は、データベース内のこの情報にすでにアクセスするか、管理 API を使用してアクセスすることができます。その結果、構成設定の「enable_group_creation」が「true」に設定されているホームサーバーのみが影響を受けます。サーバー管理者は、この脆弱性にパッチを適用するために 1.41.1 以降にアップグレードする必要があります。2 つの潜在的な回避策があります。サーバー管理者は、ホームサーバー構成で「enable_group_creation」を「false」に設定これはデフォルト値、管理者以外によるグループの作成を防ぐことができます。リバースプロキシを使用している管理者が、グループ機能の部分的な損失により、エンドポイントの `/_matrix/client/r0/groups/{group_id}/rooms` および `/_matrix/client/unstable/groups/{group_id}/ をブロックする可能性がありますルーム」を参照してください。CVE-2021-39163

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

マトリクス開発者レポート：

このリリースは、プライベートルームに関するメタデータを漏洩する可能性がある、2つの重要度中の問題にパッチを適用します。

- CVE-2021-39164: プライベートルームのメンバーとその表示名のリストを列挙する。

- CVE-2021-39163: プライベートルームの名前、アバター、トピック、メンバーの数を開示する。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Matrix is an ecosystem for open federated Instant Messaging and Voice over IP. In versions 1.41.0 and     prior, unauthorised users can access the name, avatar, topic and number of members of a room if they know     the ID of the room. This vulnerability is limited to homeservers where the vulnerable homeserver is in the     room and untrusted users are permitted to create groups (communities). By default, only homeserver     administrators can create groups. However, homeserver administrators can already access this information     in the database or using the admin API. As a result, only homeservers where the configuration setting     `enable_group_creation` has been set to `true` are impacted. Server administrators should upgrade to     1.41.1 or higher to patch the vulnerability. There are two potential workarounds. Server administrators     can set `enable_group_creation` to `false` in their homeserver configuration (this is the default value)     to prevent creation of groups by non-administrators. Administrators that are using a reverse proxy could,     with partial loss of group functionality, block the endpoints `/_matrix/client/r0/groups/{group_id}/rooms`     and `/_matrix/client/unstable/groups/{group_id}/rooms`. (CVE-2021-39163)

Note that Nessus relies on the presence of the package as reported by the vendor.

Matrix developers report :

This release patches two moderate severity issues which could reveal metadata about private rooms :

- CVE-2021-39164: Enumerating a private room's list of members and their display names.

- CVE-2021-39163: Disclosing a private room's name, avatar, topic, and number of members.

ID	名稱	產品	系列	已發布	已更新	嚴重性
400128	Alpine: multiple synapse packages: security update to 1.41.0-r0 (deprecated)	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	low
416406	SCA: security update for matrix-synapse (GHSA-jj53-8fmw-f2w2)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	low
416406	SCA: security update for matrix-synapse (GHSA-jj53-8fmw-f2w2)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	low
426812	Alpine: multiple synapse packages: security update to 1.41.1-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2025/5/16	2026/7/2	low
426812	Alpine: multiple synapse packages: security update to 1.41.1-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2025/5/16	2026/7/2	low
400128	Alpine: multiple synapse packages: security update to 1.41.0-r0 (deprecated)	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	low
255962	Linux Distros 未修補的弱點：CVE-2021-39163	Nessus	Misc.	2025/8/27	2026/8/11	low
255962	Linux Distros 未修补的漏洞：CVE-2021-39163	Nessus	Misc.	2025/8/27	2026/8/11	low
255962	Linux Distros のパッチ未適用の脆弱性: CVE-2021-39163	Nessus	Misc.	2025/8/27	2026/8/11	low
153074	FreeBSD：py-matrix-synapse -- いくつかの脆弱性（a67e358c-0bf6-11ec-875e-901b0e9408dc）	Nessus	FreeBSD Local Security Checks	2021/9/7	2021/9/10	low
255962	Linux Distros Unpatched Vulnerability : CVE-2021-39163	Nessus	Misc.	2025/8/27	2026/8/11	low
153074	FreeBSD : py-matrix-synapse -- several vulnerabilities (a67e358c-0bf6-11ec-875e-901b0e9408dc)	Nessus	FreeBSD Local Security Checks	2021/9/7	2021/9/10	low

偵測

搜尋 Plugin

low

low

low

low

low

low

low

low

low

low

low

low