Podatność CVE-2011-0633


Publikacja: 2011-05-13   Modyfikacja: 2012-02-13

Opis:
The Net::HTTPS module in libwww-perl (LWP) before 6.00, as used in WWW::Mechanize, LWP::UserAgent, and other products, when running in environments that do not set the If-SSL-Cert-Subject header, does not enable full validation of SSL certificates by default, which allows remote attackers to spoof servers via man-in-the-middle (MITM) attacks involving hostnames that are not properly validated. NOTE: it could be argued that this is a design limitation of the Net::HTTPS API, and separate implementations should be independently assigned CVE identifiers for not working around this limitation. However, because this API was modified within LWP, a single CVE identifier has been assigned.

Typ:

CWE-20

(Improper Input Validation)

CVSS2 => (AV:N/AC:M/Au:N/C:N/I:P/A:N)

Ogólna skala CVSS
Znaczenie
Łatwość wykorzystania
4.3/10
2.9/10
8.6/10
Wymagany dostęp
Złożoność ataku
Autoryzacja
Zdalny
Średnia
Nie wymagana
Wpływ na poufność
Wpływ na integralność
Wpływ na dostępność
Brak
Częściowy
Brak
Affected software
Search.cpan -> Libwww-perl 
Gisle aas -> Libwww-perl 

 Referencje:
http://cpansearch.perl.org/src/GAAS/libwww-perl-6.02/Changes
http://vttynotes.blogspot.com/2010/12/man-in-middle-fun-with-perl-lwp.html
http://vttynotes.blogspot.com/2011/03/quick-note-on-lwp-and-perl-security-cve.html

Copyright 2022, cxsecurity.com

 

Back to Top