CVE-2014-2522
Beschrijving NL
curl en libcurl 7.27.0 tot en met 7.35.0, wanneer ze op Windows worden uitgevoerd en de SChannel/Winssl TLS-backend gebruiken, verifiëren niet dat de serverhostnaam overeenkomt met een domeinnaam in het veld Common Name (CN) of subjectAltName van het X.509-certificaat bij toegang tot een URL die een numeriek IP-adres gebruikt, waardoor man-in-the-middle-aanvallers servers kunnen vervalsen via een willekeurig geldig certificaat.
Origineel (Engels) tonen
curl and libcurl 7.27.0 through 7.35.0, when running on Windows and using the SChannel/Winssl TLS backend, does not verify that the server hostname matches a domain name in the subject's Common Name (CN) or subjectAltName field of the X.509 certificate when accessing a URL that uses a numerical IP address, which allows man-in-the-middle attackers to spoof servers via an arbitrary valid certificate.