漏洞起因
设计错误
危险等级
低
影响系统
Apache Libcloud 0.4.2至0.11.x
不受影响系统
危害
远程攻击者可以利用漏洞进行中间人攻击。
攻击所需条件
攻击者必须访问Apache Libcloud。
漏洞信息
Apache Libcloud是一个Python库，为各个云供应商的专有API提供了厂商中立的接口。
Apache Libcloud 0.4.2至0.11.1存在中间人攻击条件，当与目标服务器创建SSL/TLS链接时，会使用非法正则表达式来执行主机名校验。子集而非完整的目标服务器主机名可标记为给定主机名可接收的匹配。
如使用”aexample.com”主机名字段的证书会被认为是”example.com”的合法证书。
测试方法
厂商解决方案
Apache Libcloud 0.11.1已经修复此漏洞，建议用户下载使用：
http://libcloud.apache.org
漏洞提供者
Martin Georgiev, Suman Jana and Vitaly Shmatikov
评论关闭。