NVD

Id
35359  
Name
CVE-2014-8151  
Description
The darwinssl_connect_step1 function in lib/vtls/curl_darwinssl.c in libcurl 7.31.0 through 7.39.0, when using the DarwinSSL (aka SecureTransport) back-end for TLS, does not check if a cached TLS session validated the certificate when reusing the session, which allows man-in-the-middle attackers to spoof servers via a crafted certificate.  
Reject
 
CVSS Version
2  
CVSS Score
5.8  
Severity
Medium  
CVSS Base Score
5.8  
CVSS Impact Subscore
4.9  
CVSS Exploit Subscore
8.6  
CVSS Vector
(AV:N/AC:M/Au:N/C:P/I:P/A:N)  
Pub Date
2017-01-19  
Published
2015-01-15  
Modified Date
2016-12-02  
Seq
2014-8151  

Actions

Related NVD References

Id NVD Id NVD No. Reference Actions
181225 35359 CVE-2014-8151 http://curl.haxx.se/docs/adv_20150108A.html  View
181226 35359 CVE-2014-8151 http://kb.juniper.net/InfoCenter/index?page=content&id=JSA10743  View
181227 35359 CVE-2014-8151 APPLE-SA-2015-08-13-2  View
181228 35359 CVE-2014-8151 https://support.apple.com/kb/HT205031  View

Related JVN

Id Name Title Summary Cveinfo Name Cveinfo Id Nvdinfo Name Nvdinfo Id Cvssv2 Cvssv3 Jvnurl Published Date Last Updated Date Actions
18809 JVNDB-2014-007684 libcurl の lib/vtls/curl_darwinssl.c 内の darwinssl_connect_step1 関数におけるサーバになりすまされる脆弱性 libcurl の lib/vtls/curl_darwinssl.c 内の darwinssl_connect_step1 関数は、TLS に DarwinSSL (別名 SecureTransport) のバックエンドを使用する場合、キャッシュされた TLS セッションがセッションを再使用する際に証明書の検証をしたどうかチェックしないため、サーバになりすまされる脆弱性が存在します。 CVE-2014-8151 75444 CVE-2014-8151 35359 5.8 http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-007684.html 2014-10-10 2015-08-31 View