Apache Maven 3.0.4 Default Configuration config 漏洞

CVE编号

CVE-2013-0253

利用情况

暂无

补丁情况

官方补丁

披露时间

2013-04-10

漏洞描述

Apache Maven是一个软件(特别是Java软件)项目管理及自动构建工具。Apache Maven应用程序在默认的非安全SSL模式中不安全校验SSL证书，允许攻击者利用漏洞通过中间人攻击欺骗服务器，获取敏感信息。

解决建议

Apache Maven 3.0.5和Apache Maven Wagon 2.4已经修复此漏洞，建议用户下载使用：http://maven.apache.org/docs/3.0.5/release-notes.html

参考链接
http://rhn.redhat.com/errata/RHSA-2013-0700.html
https://bugzilla.redhat.com/show_bug.cgi?id=917084
https://lists.apache.org/thread.html/ff8dcfe29377088ab655fda9d585dccd5b1f07fa...
https://maven.apache.org/security.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	apache	maven	3.0.4	-
	运行在以下环境
	应用	apache	maven_wagon	2.1	-
	运行在以下环境
	系统	ubuntu_14.04_lts	maven	*		Up to (excluding) 3.0.5-1
	运行在以下环境
	系统	ubuntu_16.04_lts	maven	*		Up to (excluding) 3.0.5-1

阿里云评分 2.6

• 攻击路径 远程
• 攻击复杂度 困难
• 权限要求 管控权限
• 影响范围 越权影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 传输被破坏
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID 漏洞类型