CVE:CVE-2009-3475
CNNVD:CNNVD-200910-064
Internet2 Shibboleth Service Provider software 1.3.3版本之前的1.3.x版本以及2.2.1版本之前的2.x版本,当在运行PKIX委托验证程序时,没有试点各地处理证书subject或subjectAltName字段的一个'\0'字符,这会允许远程中间人攻击者借助一个特制的由合法的证书认证机构颁发的证书来骗取任意SSL。
solution:Upgrade internet2 shibboleth-sp to a higher version than 1.3.1,1.3.2,1.3f,2.0,2.1,2.2,and avoid the version 1.3.1,1.3.2,1.3f,2.0,2.1,2.2