遠端 MiracleLinux 3 主機已安裝一個受到 AXSA:2014-519:01 公告中所提及的弱點影響的套件。

    描述：
    超文字傳輸通訊協定 (HTTP) 可能是目前網際網路上最重要的通訊協定。Web 服務、具備網路功能的應用裝置以及網路運算能力的成長不斷將 HTTP 通訊協定的角色延伸到使用者導向的 Web 瀏覽器之外並且增加可能需要 HTTP 支援的應用程式數量。
    雖然 java.net 套件提供透過 HTTP 存取資源的基本支援但其並未提供許多應用程式所需的完整彈性或功能。Jakarta Commons HTTP Client 元件試圖透過提供有效、最新且功能豐富的套件實作最新 HTTP 標準和建議的用戶端來填補這個空白。
    專為延伸而設計同時為基本 HTTP 通訊協定提供健全的支援。任何構建 HTTP 感知用戶端應用程式 (如網頁瀏覽器、Web 服務用戶端)或利用或延伸 HTTP 通訊協定進行分散式通訊的系統的使用者都可能會對 HTTP Client 元件感興趣。
    此版本修正的安全性問題
    CVE-2014-3577 Apache HttpComponents 之前的 HttpClient 4.3.5 和 HttpAsyncClient 之前的 4.0.2 中的 org.apache.http.conn.ssl.AbstractVerifier 未正確驗證伺服器主機名稱是否與X.509 憑證其允許攔截式攻擊者透過憑證辨別名稱 (DN) 欄位的 CN= 字串偽造 SSL 伺服器foo,CN=www.apache 即為一例。 O 欄位中的 org 字串。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 3jakarta-commons-httpclient-3.0-7jpp.4.AXS3 (AXSA:2014-519:01)

medium Nessus Plugin ID 290099

版本 1.1