このapache-commons-httpclientの更新では、次の問題が修正されます：

- http/conn/ssl/SSLConnectionSocketFactory.javaは、SSLハンドシェイク中のhttp.socket.timeout構成設定を無視します。これにより、リモート攻撃者が詳細不明のベクトルを介してサービス拒否（HTTPS呼び出しハング）を引き起こすことが可能です。[bsc#945190、CVE-2015-5262]

  - org.apache.http.conn.ssl.AbstractVerifierは、サーバーのホスト名がX.509証明書の対象の共通名（CN）あるいはsubjectAltNameフィールドのドメイン名と一致していることを適切に検証していません。これによりMITM攻撃者が証明書の識別名（DN）のフィールドのCN=文字列を介してSSLサーバーを偽装することが可能です。[bsc#1178171、CVE-2014-3577]

この更新はSUSEからインポートされました：SLE-15-SP2: 更新プロジェクトを更新します。

このapache-commons-httpclientの更新では、次の問題が修正されます：

- http/conn/ssl/SSLConnectionSocketFactory.javaは、SSLハンドシェイク中のhttp.socket.timeout構成設定を無視します。これにより、リモート攻撃者が詳細不明のベクトルを介してサービス拒否（HTTPS呼び出しハング）を引き起こすことが可能です。[bsc#945190、CVE-2015-5262]

  - org.apache.http.conn.ssl.AbstractVerifierは、サーバーのホスト名がX.509証明書の対象の共通名（CN）あるいはsubjectAltNameフィールドのドメイン名と一致していることを適切に検証していません。これによりMITM攻撃者が証明書の識別名（DN）のフィールドのCN=文字列を介してSSLサーバーを偽装することが可能です。[bsc#1178171、CVE-2014-3577]

この更新はSUSEからインポートされました：SLE-15: 更新プロジェクトを更新します。

この更新により、SSL ハンドシェイク実行中に構成済みの SO_TIMEOUT パラメーターを優先することで、サービス拒否のセキュリティ脆弱性（CVE-2015-5262）を修正します。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモートホストにインストールされているWebSphere Application Serverのバージョンは、8.0.xから8.0.0.15まで、8.5.5.20より前の8.5.x、または9.0.5.8より前の9.0.xです。したがって、6453091のアドバイザリに記載されている次のような複数の脆弱性の影響を受けます。

  - 4.3.6より前のApache HttpComponents HttpClientにおけるhttp/conn/ssl/SSLConnectionSocketFactory.javaは、SSLハンドシェイク中のhttp.socket.timeout構成設定を無視します。これにより、リモート攻撃者が詳細不明のベクトルを介してサービス拒否（HTTPS呼び出しハング）を引き起こすことが可能です。（CVE-2015-5262）

  - 4.3.5より前のApache HttpComponents HttpClient におけるorg.apache.http.conn.ssl.AbstractVerifierおよび4.0.2より前のHttpAsyncClientは、サーバーのホスト名がX.509証明書の対象の共通名（CN）あるいはsubjectAltNameフィールドのドメイン名と一致していることを適切に検証していません。これにより中間攻撃者が証明書の識別名（DN）のフィールドのCN=文字列を介してSSLサーバーを偽装することが可能です。Oフィールドのfoo、CN=www.apache.org文字列によって実証されているのと同様です。（CVE-2014-3577）

  - 4.2.3より前のApache Commons HttpClient のhttp/conn/ssl/AbstractVerifier.javaは、サーバーのホスト名X.509証明書の対象の共通名（CN）あるいはsubjectAltNameフィールドのドメイン名と一致するかを適切に検証していません。これにより中間攻撃者が、CNフィールドではないフィールドの共通名を指定する表題がある証明書を介してSSLサーバーを偽装することができます。 注：この問題はCVE-2012-5783の修正が不完全なために存在します。（CVE-2012-6153）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Trevin Beattie 氏 [1] は、マルチスレッド の Java アプリケーションでスレッドのハングアップが観察される可能性がある問題を、見つけました。この問題のデバッグ後、commons-httpclient での SSL 初期化コードによってスレッドのハングアップが発生することが明らかになりました。

このアップロードでは、サーバーとの SSL ハンドシェイク中に、構成済みの SO_TIMEOUT を順守することで、この問題が修正されます。

[1] https://bugzilla.redhat.com/show_bug.cgi?id=1259892

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

インストールされているhttpcomponents-clientパッケージのバージョンによると、リモートホストへのEulerOSのインストールは、次の脆弱性の影響を受けます。- 4.3.6より前のApache HttpComponents HttpClientのhttp/conn/ssl/SSLConnectionSocketFactory.javaは、SSLハンドシェイク中にhttp.socket.timeout構成設定を無視します。このため、リモートの攻撃者が詳細不明なベクトルを使用してサービス拒否（HTTPSコールのハング）を引き起こす可能性があります。（CVE-2015-5262）注意：Tenable Network Securityは、前述の記述ブロックをEulerOSセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Apache Commons HttpClient が X.509 証明書の Common Name または subjectAltName フィールドを適切に検証しないことが判明しました。
攻撃者はこれを悪用して、中間者攻撃を実行して機密情報を表示したり、暗号化された通信を変更したりする可能性があります。この問題の影響を受けるのは、Ubuntu 12.04 LTSのみです。（CVE-2012-5783）

Florian Weimer 氏は、CVE-2012-5783 の修正が Apache Commons HttpClient に対して不完全であることを発見しました。攻撃者はこれを悪用して、中間者攻撃を実行して機密情報を表示したり、暗号化された通信を変更したりする可能性があります。この問題の影響を受けるのは、Ubuntu 12.04 LTSのみです。
(CVE-2012-6153)

Subodh Iyengar 氏および Will Shackleton 氏は、CVE-2012-5783 の修正が Apache Commons HttpClient に対して不完全であることを発見しました。攻撃者はこれを悪用して、中間者攻撃を実行して機密情報を表示したり、暗号化された通信を変更したりする可能性があります。
(CVE-2014-3577)

Apache Commons HttpClient が、HTTPS ハンドシェイク中に読み取りタイムアウトを適切に処理しないことが判明しました。リモートの攻撃者がこの欠陥を発生させて、サービス拒否を引き起こす可能性があります。(CVE-2015-5262)。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
142638	openSUSEセキュリティ更新プログラム：apache-commons-httpclient（openSUSE-2020-1875）	Nessus	SuSE Local Security Checks	2020/11/9	2024/2/9	medium
142629	openSUSEセキュリティ更新プログラム：apache-commons-httpclient（openSUSE-2020-1873）	Nessus	SuSE Local Security Checks	2020/11/9	2024/2/9	medium
86228	Fedora 21：jakarta-commons-httpclient-3.1-20.fc21（2015-15588）	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	medium
86229	Fedora 22：jakarta-commons-httpclient-3.1-23.fc22（2015-15589）	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	medium
149787	IBM WebSphere Application Server 8.0.x <= 8.0.0.15 / 8.5.x < 8.5.5.20 / 9.0.x < 9.0.5.8 複数の脆弱性	Nessus	Web Servers	2021/5/20	2023/12/29	high
86225	Debian DLA-322-1 ： commons-httpclient セキュリティ更新	Nessus	Debian Local Security Checks	2015/10/2	2021/1/11	medium
86230	Fedora 23：jakarta-commons-httpclient-3.1-23.fc23（2015-15590）	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	medium
131671	EulerOS 2.0 SP2：httpcomponents-client（EulerOS-SA-2019-2518）	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	medium
86401	Ubuntu 14.04 LTS: Apache Commons HttpClient の脆弱性 (USN-2769-1)	Nessus	Ubuntu Local Security Checks	2015/10/15	2023/10/23	medium

検出

プラグインの検索

medium

medium

medium

medium

high

medium

medium

medium

medium