CVE-2013-4366
KrytyczneStreszczenie
W Apache HttpClient w wersjach 4.3.x przed 4.3.1 nie zapewniono, że X509HostnameVerifier nie jest nullem, co może umożliwić atakującym wykorzystanie luk w weryfikacji nazw hostów.
Ocena ryzyka
Brak odpowiedniej weryfikacji nazw hostów może prowadzić do ataków typu man-in-the-middle, co zagraża integralności i poufności danych przesyłanych przez aplikację.
Rekomendacja
Zaleca się aktualizację Apache HttpClient do wersji 4.3.1 lub nowszej, aby zapewnić odpowiednią weryfikację nazw hostów.
Inne podatności w Apache HttpClient
Zobacz wszystkie- CVE-2020-13956Średnie
Apache HttpClient w wersjach wcześniejszych niż 4.5.13 i 5.0.3 może błędnie interpretować nieprawidłowy komponent authority w URI żądań przekazywanych do biblioteki jako obiekt java.net.URI i wybrać niewłaściwy host docelowy do wykonania żądania.
- CVE-2026-40542Wysokie
W Apache HttpClient 5.6 brakuje krytycznego kroku w uwierzytelnianiu, co pozwala atakującemu na wymuszenie akceptacji mechanizmu SCRAM-SHA-256 bez poprawnej weryfikacji wzajemnego uwierzytelnienia. Luka została naprawiona w wersji 5.6.1.
Oryginalny opis (angielski, źródło NVD)
http/impl/client/HttpClientBuilder.java in Apache HttpClient 4.3.x before 4.3.1 does not ensure that X509HostnameVerifier is not null, which allows attackers to have unspecified impact via vectors involving hostname verification.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS