CVE-2013-7397
Beschrijving NL
Async Http Client (ook bekend als AHC of async-http-client) vóór 1.9.0 slaat X.509-certificaatverificatie over, tenzij zowel een keyStore-locatie als een trustStore-locatie expliciet zijn ingesteld, waardoor man-in-the-middle-aanvallers HTTPS-servers kunnen vervalsen door een willekeurig certificaat te presenteren tijdens het gebruik van een typische AHC-configuratie, zoals blijkt uit een configuratie die geen clientcertificaten verzendt.
Origineel (Engels) tonen
Async Http Client (aka AHC or async-http-client) before 1.9.0 skips X.509 certificate verification unless both a keyStore location and a trustStore location are explicitly set, which allows man-in-the-middle attackers to spoof HTTPS servers by presenting an arbitrary certificate during use of a typical AHC configuration, as demonstrated by a configuration that does not send client certificates.