Уязвимость спуфинга серверов в модуле Net::HTTPS из libwww-perl (LWP) через атаки типа "человек посередине" (MITM), вызванная отсутствием полной проверки SSL-сертификатов по умолчанию
Описание
Обнаружена уязвимость в модуле Net::HTTPS из libwww-perl (LWP), который используется в таких продуктах, как WWW::Mechanize, LWP::UserAgent и других. При работе в средах, где не установлен заголовок If-SSL-Cert-Subject, модуль по умолчанию не включает полную проверку SSL-сертификатов. Это позволяет удалённым злоумышленникам подменять серверы через атаки типа "человек посередине" (MITM), используя хосты, которые не проходят надлежащую валидацию.
Примечание: можно утверждать, что это ограничение является особенностью дизайна API Net::HTTPS, и отдельные реализации должны получать независимые идентификаторы CVE за то, что они не обходят это ограничение. Однако, поскольку этот API был изменён внутри LWP, был назначен единый идентификатор CVE.
Затронутые версии ПО
- libwww-perl (LWP) до версии 6.00
- Продукты, использующие Net::HTTPS (например, WWW::Mechanize, LWP::UserAgent)
Тип уязвимости
- Спуфинг (подмена) сервера
- Недостаточная валидация SSL-сертификатов
Затронутые пакеты
| Платформа | Пакет | Состояние | Рекомендация | Релиз |
|---|---|---|---|---|
| Red Hat Enterprise Linux 4 | perl-libwww-perl | Will not fix | ||
| Red Hat Enterprise Linux 5 | perl-libwww-perl | Will not fix | ||
| Red Hat Enterprise Linux 6 | perl-libwww-perl | Will not fix |
Показывать по
Дополнительная информация
Статус:
EPSS
5.8 Medium
CVSS2
Связанные уязвимости
The Net::HTTPS module in libwww-perl (LWP) before 6.00, as used in WWW::Mechanize, LWP::UserAgent, and other products, when running in environments that do not set the If-SSL-Cert-Subject header, does not enable full validation of SSL certificates by default, which allows remote attackers to spoof servers via man-in-the-middle (MITM) attacks involving hostnames that are not properly validated. NOTE: it could be argued that this is a design limitation of the Net::HTTPS API, and separate implementations should be independently assigned CVE identifiers for not working around this limitation. However, because this API was modified within LWP, a single CVE identifier has been assigned.
The Net::HTTPS module in libwww-perl (LWP) before 6.00, as used in WWW::Mechanize, LWP::UserAgent, and other products, when running in environments that do not set the If-SSL-Cert-Subject header, does not enable full validation of SSL certificates by default, which allows remote attackers to spoof servers via man-in-the-middle (MITM) attacks involving hostnames that are not properly validated. NOTE: it could be argued that this is a design limitation of the Net::HTTPS API, and separate implementations should be independently assigned CVE identifiers for not working around this limitation. However, because this API was modified within LWP, a single CVE identifier has been assigned.
The Net::HTTPS module in libwww-perl (LWP) before 6.00, as used in WWW ...
The Net::HTTPS module in libwww-perl (LWP) before 6.00, as used in WWW::Mechanize, LWP::UserAgent, and other products, when running in environments that do not set the If-SSL-Cert-Subject header, does not enable full validation of SSL certificates by default, which allows remote attackers to spoof servers via man-in-the-middle (MITM) attacks involving hostnames that are not properly validated. NOTE: it could be argued that this is a design limitation of the Net::HTTPS API, and separate implementations should be independently assigned CVE identifiers for not working around this limitation. However, because this API was modified within LWP, a single CVE identifier has been assigned.
EPSS
5.8 Medium
CVSS2