6.00 版之前 libwww-perl (LWP) 中的 Net::HTTPS 模組在 WWW::Mechanize 中使用時，LWP::UserAgent 和其他產品如果是在不設定 If-SSL-Cert-Subject 標頭的環境下執行的，則預設不會啟用 SSL 憑證的完整驗證，進而允許遠端攻擊者透過攔截式 (MITM) 攻擊，偽造涉及未正確驗證之主機名稱的伺服器。注意：這是否屬於 Net::HTTPS API 的設計限制，仍待論證，而且如果沒有解決這個限制，則應該為個別的實作獨立指派 CVE 識別碼。不過，因為此 API 是在 LWP 內修改，因此已經指派一個單一的 CVE 識別碼。

偵測

Amazon Linux AMI：perl-libwww-perl (ALAS-2011-17)

medium Nessus Plugin ID 69576

找不到變更記錄