Apache Commons HttpClient 3.x，如在 Amazon Flexible Payments Service (FPS) merchant Java SDK 和其他產品中所使用，未驗證伺服器主機名稱是否與主體之共用名稱 (CN) 中的網域名稱或 X.509 憑證的 subjectAltName 欄位相符，進而允許攔截式攻擊者透過任意有效憑證偽造 SSL 伺服器。

據發現，CVE-2012-6153 的修正不完整：新增的程式碼具有瑕疵，該程式碼用於檢查伺服器主機名稱是否與 X.509 憑證主體之共用名稱 (CN) 欄位中的網域名稱相符。攔截式攻擊者可利用此瑕疵，使用特製的 X.509 憑證偽造 SSL 伺服器。

據發現，CVE-2012-5783 的修正不完整：新增來檢查伺服器主機名稱是否與 X.509 憑證主體之共用名稱 (CN) 欄位中的網域名稱相符的程式碼具有瑕疵。攔截式攻擊者可利用此瑕疵，使用特製的 X.509 憑證偽造 SSL 伺服器。

偵測

Amazon Linux AMI : jakarta-commons-httpclient (ALAS-2014-410)

medium Nessus Plugin ID 78353

找不到變更記錄