Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache HttpComponents HttpClient 4.3.6 之前版本中的 http/conn/ssl/SSLConnectionSocketFactory.java 会在 SSL 握手期间忽略 http.socket.timeout 配置设置，远程攻击者可利用此漏洞，通过不明向量造成拒绝服务（HTTPS 调用挂起）。(CVE-2015-5262)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

此更新在 SSL 握手期间通过相关配置的 SO_TIMEOUT 参数修复了 CVE-2015-5262 拒绝服务安全漏洞。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程主机上安装的 WebSphere Application Server 版本为 8.0.x 版的 8.0.0.15 之前版本、8.5.x 版的 8.5.5.20 之前版本或 9.0.x 版的 9.0.5.8 之前版本。因此，该产品受到 6453091 公告中提及的多个漏洞影响，其中包括：

  - Apache HttpComponents HttpClient 4.3.6 之前版本中的 http/conn/ssl/SSLConnectionSocketFactory.java 会在 SSL 握手期间忽略 http.socket.timeout 配置设置，远程攻击者可利用此漏洞，通过不明向量造成拒绝服务（HTTPS 调用挂起）。(CVE-2015-5262)

  - 在 Apache HttpComponents HttpClient 4.3.5 之前版本和 HttpAsyncClient 4.0.2 之前版本中，org.apache.http.conn.ssl.AbstractVerifier 不会正确验证服务器主机名是否与 X.509 证书的主题公用名 (CN) 或 subjectAltName 字段中的域名匹配，中间人攻击者可利用此漏洞，通过 CN= 证书的可分辨名称 (DN) 中某字段中的字符串来欺骗 SSL 服务器。foo,CN= O 字段中的 www.apache.org 字符串即为一例。(CVE-2014-3577)

  - 在 Apache Commons HttpClient 4.2.3 之前版本中，http/conn/ssl/AbstractVerifier.java 不会正确验证服务器主机名是否与 X.509 证书中主题公用名 (CN) 或 subjectAltName 字段中的域名匹配，中间人攻击者可利用此漏洞，通过主题在非 CN 字段中指定公用名的证书欺骗 SSL 服务器。注意：此问题是因对 CVE-2012-5783 的修复不完整所致。(CVE-2012-6153)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

Trevin Beattie [1] 发现可观察到多线程 Java 应用程序中的挂起线程的问题。在调试此问题之后发现，很明显，挂起的线程是由 commons-httpclient 中的 SSL 初始化代码导致。

通过在与服务器的 SSL 握手期间考虑所配置的 SO_TIMEOUT，此上传修复了此问题。

[1] https://bugzilla.redhat.com/show_bug.cgi?id=1259892

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

根据安装的 httpcomponents-client 程序包版本，远程主机上的 EulerOS 安装会受到下列漏洞影响：- 在 Apache HttpComponents HttpClient 4.3.6 之前的版本中，http/conn/ssl/SSLConnectionSocketFactory.java 在 SSL 握手期间忽略 http.socket.timeout 配置设置，这可让远程攻击者通过不明向量造成拒绝服务（HTTPS 调用挂起）。(CVE-2015-5262) 请注意，Tenable Network Security 已直接从 EulerOS 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Ubuntu 14.04 LTS 主机上安装的一个程序包受到 USN-2769-1 公告中提及的多个漏洞影响。

    已发现 Apache Commons HttpClient 未正确验证 X.509 证书的公用名或 subjectAltName 字段。远程攻击者可利用此漏洞执行中间机攻击以查看敏感信息或修改加密通信。此问题仅影响 Ubuntu 12.04 LTS。
    (CVE-2012-5783)

    Florian Weimer 发现对于 Apache Commons HttpClient 而言，CVE-2012-5783 的补丁不完整。远程攻击者可利用此漏洞执行中间机攻击以查看敏感信息或修改加密通信。此问题仅影响 Ubuntu 12.04 LTS。(CVE-2012-6153)

    Subodh Iyengar 和 Will Shackleton 发现对于 Apache Commons HttpClient 而言，CVE-2012-5783 的补丁不完整。远程攻击者可利用此漏洞执行中间机攻击以查看敏感信息或修改加密通信。(CVE-2014-3577)

    已发现 Apache Commons HttpClient 未正确处理 HTTPS 握手期间的读取超时。远程攻击者可触发此缺陷造成拒绝服务。(CVE-2015-5262)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
218856	Linux Distros 未修补的漏洞: CVE-2015-5262	Nessus	Misc.	2025/3/4	2025/8/25	medium
86228	Fedora 21：jakarta-commons-httpclient-3.1-20.fc21 (2015-15588)	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	medium
86229	Fedora 22：jakarta-commons-httpclient-3.1-23.fc22 (2015-15589)	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	medium
149787	IBM WebSphere Application Server 8.0.x <= 8.0.0.15 / 8.5.x < 8.5.5.20 / 9.0.x < 9.0.5.8 多个漏洞	Nessus	Web Servers	2021/5/20	2024/10/23	high
86225	Debian DLA-322-1：commons-httpclient 安全更新	Nessus	Debian Local Security Checks	2015/10/2	2021/1/11	medium
86230	Fedora 23：jakarta-commons-httpclient-3.1-23.fc23 (2015-15590)	Nessus	Fedora Local Security Checks	2015/10/2	2021/1/11	medium
131671	EulerOS 2.0 SP2：httpcomponents-client (EulerOS-SA-2019-2518)	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	medium
86401	Ubuntu 14.04 LTS：Apache Commons HttpClient 漏洞 (USN-2769-1)	Nessus	Ubuntu Local Security Checks	2015/10/15	2025/9/3	medium

检测

插件搜索

medium

medium

medium

high

medium

medium

medium

medium