标题: Ruby "Net::HTTPS"命令名确认时的安全问题 [打印本页]

---

作者: pioneer     时间: 2007-10-13 09:47    标题: Ruby "Net::HTTPS"命令名确认时的安全问题

来源

secunia.com

软件名

Ruby 1.8.x

描述

这可被恶意进行欺骗攻击当SSL服务器提供的命令名匹配上所请求服务器的主机名时，"Net::HTTPS"库没有正确的检查导致可进行欺骗攻击执行成功需要一个中间人攻击和在客户端由CA有效确认签名的possession version 1.8.5和1.8.6中已经报告过

解决方案

SVN库中已经修复

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn