CVE-2020-25680

**Nome do software vulnerável e versões afetadas:

JBCS httpd versão 2.4.37 SP3

Descrição:

Foi encontrada uma falha no JBCS httpd, na qual ele utiliza um certificado SSL do worker de back-end com o ID do arquivo keystore definido como ‘unknown’. Isso faz com que a validação do certificado deixe de funcionar, permitindo que a conexão com o back-end seja estabelecida mesmo quando o CN e o nome do host não correspondem. A maior ameaça decorrente desse problema é à integridade dos dados.

Recomendações:

Para a versão 2.4.37 SP3, considere desativar o uso de certificados SSL do back-end worker com o ID do arquivo keystore definido como “desconhecido” até que um patch esteja disponível. Restrinja o acesso ao back-end para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.