Katalog CVE
CVE-2013-4366
KrytyczneStreszczenie
W Apache HttpClient w wersjach 4.3.x przed 4.3.1 nie zapewniono, że X509HostnameVerifier nie jest nullem, co może umożliwić atakującym wykorzystanie luk w weryfikacji nazw hostów.
Ocena ryzyka
Brak odpowiedniej weryfikacji nazw hostów może prowadzić do ataków typu man-in-the-middle, co zagraża integralności i poufności danych przesyłanych przez aplikację.
Rekomendacja
Zaleca się aktualizację Apache HttpClient do wersji 4.3.1 lub nowszej, aby zapewnić odpowiednią weryfikację nazw hostów.
Oryginalny opis (angielski, źródło NVD)
http/impl/client/HttpClientBuilder.java in Apache HttpClient 4.3.x before 4.3.1 does not ensure that X509HostnameVerifier is not null, which allows attackers to have unspecified impact via vectors involving hostname verification.