Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la función mod_dialback en la opción dialback_without_dialback en Prosody (CVE-2021-32919)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-295 Validación incorrecta de certificados
Fecha de publicación:
13/05/2021
Última modificación:
07/11/2023

Descripción

Se detectó un problema en Prosody versiones anteriores a 0.11.9. La opción no documentada dialback_without_dialback en la función mod_dialback habilita una funcionalidad experimental para la autenticación de servidor a servidor. No autentica correctamente los certificados de servidor remoto, permitiendo que un servidor remoto suplante a otro servidor (cuando esta opción está habilitada)

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:prosody:prosody:*:*:*:*:*:*:*:* 0.10.0 (incluyendo) 0.11.9 (excluyendo)
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:*