CVE编号
CVE-2018-17187利用情况
暂无补丁情况
官方补丁披露时间
2018-11-14漏洞描述
Apache Qpid pon - j传输包含一个可选的包装器层来执行TLS，通过使用'transport.ssl(…)'方法来启用它。除非显式地配置了验证模式，否则以前的客户端和服务器模式默认为不验证对等证书，并提供了显式配置或选择证书验证模式(无论是否执行主机名验证)的选项。后一种主机名验证模式在Apache Qpid pon - j版本0.3到0.29.0中没有实现，尝试使用它会导致异常。这样就只剩下验证证书是否受信任的选项，从而使这样的客户机容易受到中间人(Man In the Middle, MITM)攻击。不使用可选传输TLS包装器的Proton-J协议引擎不会受到影响，例如Qpid JMS中的使用。使用proten - j使用可选的transport TLS包装器层来启用主机名验证必须升级到0.30.0或更高版本，并使用VerifyMode#VERIFY_PEER_NAME配置，这是客户端模式使用的默认配置，除非另行配置。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| http://www.securityfocus.com/bid/105935 | |
| https://issues.apache.org/jira/browse/PROTON-1962 | |
| https://mail-archives.apache.org/mod_mbox/qpid-users/201811.mbox/%3CCAFitrpQS... | |
| https://qpid.apache.org/cves/CVE-2018-17187.html |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | apache | qpid_proton-j | * |
From (including) 0.3 |
Up to (including) 0.29.0 |
||||
| 运行在以下环境 | |||||||||
| 系统 | debian_9 | qpid-proton | * |
Up to (excluding) 0.14.0-5 |
|||||
- 攻击路径 远程
- 攻击复杂度 困难
- 权限要求 无需权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 100
还没有评论，来说两句吧...