Apache Qpid Python客户端SSL证书验证信息泄露漏洞

基本信息

漏洞ID：1167513
漏洞类型：输入验证
发布日期：2013-06-12
更新时间：2013-06-12
CVE编号： CVE-2013-1909
CNNVD-ID：CNNVD-201307-151
漏洞平台： N/A
CVSS评分：5.8

漏洞来源

<a href="https://www.securityfocus.com/bid/60800" target="_blank">https://www.securityfocus.com/bid/60800</a><br/> <a href="http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201307-151" target="_blank">http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201307-151</a><br/>

漏洞详情

ApacheQpid是美国阿帕奇（Apache）软件基金会开发的一款面向对象的消息中间件，它是一个AMQP（高级消息队列协议）的实现，可以和符合AMQP协议的系统进行通信，并提供了C++、Python、Java、C#等编程语言的客户端库。QpidAMQP0-xJMSclient和QpidJMSclient都是其中的客户端组件。ApacheQpid2.2之前版本中的Python客户端中存在安全漏洞，该漏洞源于程序没有验证远程服务器的SSL证书。攻击者可借助任意有效的证书利用该漏洞实施中间人攻击欺骗服务器，也可能泄露敏感信息。

参考资料

来源:issues.apache.org
链接:https://issues.apache.org/jira/browse/QPID-4918
来源:svn.apache.org
链接:http://svn.apache.org/viewvc?view=revision&revision=1460013
来源:SECUNIA
名称:54137
链接:http://secunia.com/advisories/54137
来源:SECUNIA
名称:53968
链接:http://secunia.com/advisories/53968
来源:REDHAT
名称:RHSA-2013:1024
链接:http://rhn.redhat.com/errata/RHSA-2013-1024.html
来源:qpid.apache.org
链接:http://qpid.apache.org/releases/qpid-0.22/release-notes.html
来源:BID
名称:60800
链接:http://www.securityfocus.com/bid/60800