Amazon Linux AMI：perl-libwww-perl（ALAS-2011-17）

medium Nessus プラグイン ID 69576

Language:

概要

リモート Amazon Linux AMI ホストに、セキュリティ更新がありません。

説明

6.00 より前の libwww-perl（LWP）において、WWW::Mechanize や LWP::UserAgent などの製品で使用される Net::HTTPS モジュールは、If-SSL-Cert-Subject ヘッダーを設定していない環境で実行される場合、SSL 証明書の完全な検証をデフォルトで有効にしていません。これにより、リモートの攻撃者は、適切に検証されないホスト名に関与している中間者（MITM）攻撃を通じて、サーバーを偽装することができます。注：これは Net::HTTPS API の設計上の限界であり、別に実装するならば、この限界を回避するものではない CVE 識別子を新たに割り当てるべきであると主張される可能性があります。ただし、この API は LWP 内で変更されたため、ただ 1 つの CVE 識別子が割り当てられています。