Amazon Flexible Payments Service (FPS) 商业 Java SDK 和其他产品中使用的 Apache Commons HttpClient 3.x 未验证服务器主机名是否匹配 X.509 证书主题的公用名 (CN) 或 subjectAltName 字段中的域名，这允许中间人攻击者通过任意有效证书欺骗 SSL 服务器。

已发现针对 CVE-2012-6153 的补丁不完整：添加用于检查服务器主机名是否与 X.509 证书的主题公用名 (CN) 字段中的域名匹配的代码存在缺陷。中间人攻击者可利用此缺陷，使用特别构建的 X.509 证书欺骗 SSL 服务器。

已发现针对 CVE-2012-5783 的补丁不完整：添加的用来检查服务器主机名是否与 X.509 证书主题的公用名 (CN) 字段中的域名匹配的代码存在缺陷。中间人攻击者可利用此缺陷，使用特别构建的 X.509 证书欺骗 SSL 服务器。

检测

Amazon Linux AMI：jakarta-commons-httpclient (ALAS-2014-410)

medium Nessus 插件 ID 78353

未找到变更日志