Обход ограничений безопасности

Уровень опасности

Средняя (4.3)

Оценка CVSS

(AV:N/AC:M/Au:N/C:P/I:N/A:N)

Производитель ПО

RedHat

Наименование ПО

irb (Unknown) ruby (Unknown)

Описание

Метод connect в lib/net/http.rb в библиотеках Net::HTTP и Net::HTTPS в Ruby не проверяет, что поле commonName (CN) в сертификате сервера совпадает с доменным именем в HTTPS-запросе, что облегчает злоумышленникам, действующим удаленно, задачу прерывания SSL-передачи данных, используя атаку типа "человек-посередине" или подмену веб-сайта.

Как исправить

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.ruby-lang.org/en/

Ссылки

BUGTRAQ (20070927 Ruby Net::HTTPS library does not validate server certificate CN): http://www.securityfocus.com/archive/1/archive/1/480987/100/0/threaded
http://www.isecpartners.com/advisories/2007-006-rubyssl.txt
http://svn.ruby-lang.org/cgi-bin/viewvc.cgi?view=rev&revision=13499
http://svn.ruby-lang.org/cgi-bin/viewvc.cgi?view=rev&revision=13500
http://svn.ruby-lang.org/cgi-bin/viewvc.cgi?view=rev&revision=13502
http://svn.ruby-lang.org/cgi-bin/viewvc.cgi?view=rev&revision=13504
BID (25847): http://www.securityfocus.com/bid/25847

Назад к списку уязвимостей

Обход ограничений безопасности

Карточка уязвимости

Характеристики уязвимости