Search (keywords):  SOFT ARTICLES TIPS & TRICKS SECURITY LINKS NEWS MAN DOCUMENTATION

<< Previous INDEX Search src Set bookmark Go to bookmark Next >>

Date: Tue, 28 Jan 2003 09:04:29 +0100
From: Alex Loots <a.loots@itsec-ss.nl>
To: "bugtraq@securityfocus.com" <bugtraq@securityfocus.com>
Subject: Incorrect Certificate Validation in Java Secure Socket Extension

According to SUN it has been reported that: "the Java Secure Socket
Extension (JSSE) may incorrectly validate the digital certificate of a
web site. This may result in untrustworthy web sites being
authenticated for SSL transactions. The Java Plug-in and Java Web Start
may incorrectly validate the digital certificates of signed JAR files.
This may result in untrustworthy code being executed as trusted code." 

>From the JSSE changelog: "If an SSLContext was initialized
(SSLContext.init()) with an instance of the X509TrustManager
implementation, JSSE 1.0.3 incorrectly called the isClientTrusted()
method when making server trust decisions." 

The SUN bulletin:
http://sunsolve.sun.com/pub-cgi/retrieve.pl?doc=fsalert%2F50081&zone_32=category%3Asecurity

The changelog Java(tm) Secure Socket Extension 1.0.3_01 mentions this
vulnerability
http://java.sun.com/products/jsse/CHANGES.txt


-- 
-Alex

<< Previous INDEX Search src Set bookmark Go to bookmark Next >>

ПОДПИШИСЬ НА ЖУРНАЛ Linux Format 2012! Журнал "Linux Format" (Линукс Формат)- Единственный в России и странах СНГ журнал на русском языке, посвящённый Linux и свободному ПО. Журнал для IT-директоров, IT-менеджеров, программистов, системных администраторов, учителей школ и преподавателей ВУЗов и всех пользователей ПК. В каждом выпуске: Новости индустрии OpenSource, обзоры новинок свободного ПО, обучающие и методические статьи. Каждый, кто оформит подписку, получает бонусы и подарки- объёмные наклейки на системный блок, диск с архивом номеров за 2005-2011 г.г. и ежемесячно электронную версию журнала в pdf-формате. Оформить подписку на год