CVE-2018-17187

Il trasporto Apache Qpid Proton-J include uno strato opzionale di wrapping per eseguire TLS, abilitato mediante l'uso dei metodi 'transport.ssl(...)'. A meno che non sia stato configurato esplicitamente un modo di verifica, le modalità client e server precedentemente defaultavano, come documentato, al non verificare il certificato del peer, con opzioni per configurare esplicitamente questa verifica o per selezionare una modalità di verifica del certificato con o senza verifica dell'hostname. La modalità di verifica dell'hostname, quest'ultima, non era implementata nelle versioni di Apache Qpid Proton-J dalla 0.3 alla 0.29.0, e i tentativi di utilizzarla risultavano in un'eccezione. Ciò lasciava l'unica opzione di verificare che il certificato sia affidabile, rendendo tale client vulnerabile ad attacchi Man In The Middle (MITM). Gli utilizzi del motore di protocollo Proton-J che non sfruttano lo strato opzionale di wrapping TLS del trasporto non sono interessati, ad esempio l'uso all'interno di Qpid JMS. Gli utilizzi di Proton-J che impiegano lo strato opzionale di wrapping TLS del trasporto e desiderano abilitare la verifica dell'hostname devono essere aggiornati alla versione 0.30.0 o successiva e utilizzare la configurazione VerifyMode#VERIFY_PEER_NAME, che ora è impostata come predefinita per l'uso in modalità client, salvo diversa configurazione.