Scott Cantor が、ファイル取得ツールである curl により、 CURLOPT_SSL_VERIFYPEER 設定が無効な場合に、 CURLOPT_SSLVERIFYHOST チェックが無効になることを、見つけました。また、これは、ssl 証明書トラストチェーンの検証のみを無効にしておくべきであったにもかかわらず、ssl 証明書のホスト名のチェックも無効にする場合があります。

CURLOPT_SSLVERIFYPEER はデフォルトで有効なため、curl パッケージのデフォルトの構成は、この問題の影響を受けません。

検出

Debian DSA-2798-1：curl - 未チェックの ssl 証明書のホスト名

medium Nessus プラグイン ID 70985

変更ログが見つかりません