Async Http Client 欺骗漏洞 (CVE-2013-7397)

释放双眼,带上耳机,听听看~!

文章转载开源中国

发布日期:2015-06-25
更新日期:2015-06-25

受影响系统:

AsyncHttpClient AsyncHttpClient < 1.9.0

描述:


CVE(CAN) ID: CVE-2013-7397

Async Http Client是异步HTTP及WebSocket客户端Java库。

Async Http Client 1.9.0之前版本,会跳过了X.509证书验证,除非keyStore位置及trustStore位置均显式设置。中间人攻击者在使用典型AHC配置中显示任意证书,即可欺骗HTTP服务器。

<*来源:losar
  *>

建议:


厂商补丁:

AsyncHttpClient
—————
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:

https://github.com/AsyncHttpClient/async-http-client

https://github.com/AsyncHttpClient/async-http-client/issues/352

https://github.com/AsyncHttpClient/async-http-client/issues/197

给TA打赏
共{{data.count}}人
人已打赏
安全漏洞

PHP 5.2.17&5.3.29 远程DOS漏洞UPUPW修复版

2015-6-8 11:12:22

安全漏洞

网易邮箱惊现致命漏洞,似邮箱过亿数据泄漏

2015-10-19 11:12:22

个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
搜索