CVE-2021-32919

Versões do Prosody anteriores à 0.11.9

O problema está relacionado à opção não documentada dialback without dialback no módulo mod dialback, que habilita um recurso experimental para autenticação servidor-a-servidor. Essa opção não autentica corretamente os certificados de servidores remotos, permitindo que um servidor remoto se faça passar por outro servidor quando a opção está habilitada. A vulnerabilidade está associada à autenticação incorreta de certificados de servidores remotos.

Para versões anteriores à 0.11.9, atualize para a versão 0.11.9 ou posterior para resolver o problema. Como solução temporária, considere desativar a opção dialback without dialback no módulo mod dialback até que um patch esteja disponível. Restrinja o acesso ao módulo mod dialback para minimizar o risco de exploração.