Hostname verification in Apache HttpClient 4.3 was disabled by default

緊急 9.8CVE-2013-4366 · GHSA-pqwh-44jj-p5rm · 30/10/2017 公開 · 16/06/2026 更新

パッケージ	影響を受けるバージョン	修正済みバージョン
org.apache.httpcomponents:httpclient Maven	`≥ 4.3, < 4.3.1`	`4.3.1`
httpclient apache	`= 4.3`	修正版なし

概要

http/impl/client/HttpClientBuilder.java in Apache HttpClient 4.3.x before 4.3.1 does not ensure that X509HostnameVerifier is not null, which allows attackers to have unspecified impact via vectors involving hostname verification.

NVD の説明

参考情報

nvd.nist.gov/vuln/detail/CVE-2013-4366 · ADVISORY
apache/httpcomponents-client commit 0814086 · WEB
svn.apache.org/r1528614 · WEB
apache.org/dist/httpcomponents/httpclient/RELEASE_NOTES-4.3.x.txt · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン