Travis Burtrum

**Nome do software vulnerável e versões afetadas** Mellium mellium.im/xmpp versões 0.21.0 e anteriores **Descrição** Um invasor capaz de falsificar registros TXT do DNS pode redirecionar uma solicitação de conexão WebSocket para um servidor sob seu controle sem causar falha na verificação do certificado TLS. Isso ocorre porque o nome de host incorreto é selecionado durante essa verificação. A vulnerabilidade permite ataques man-in-the-middle por meio de falsificação de DNS, nos quais o certificado TLS do servidor é validado incorretamente usando o nome do servidor retornado pela solicitação do registro TXT, e não o nome do servidor ao qual se está conectando. **Recomendações** Para as versões 0.21.0 e anteriores do Mellium mellium.im/xmpp, fornecer um `tls.Config` com o campo `ServerName` definido para o nome de host de destino correto evitará esse problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Prosody anteriores à 0.11.9 **Descrição** Uma falha no Prosody permite ataques remotos de negação de serviço (DoS) sem autenticação, por meio do esgotamento da memória, quando executado com Lua 5.2 ou Lua 5.3. O problema está relacionado a um erro no mecanismo de controle de recursos, que pode ser explorado por um invasor remoto para causar uma negação de serviço. **Recomendações** Para versões anteriores à 0.11.9, atualize para a versão 0.11.9 ou posterior para resolver o problema. Como solução temporária, considere restringir as configurações padrão para evitar o esgotamento de memória até que um patch seja aplicado.