CVE-2018-17187

El transporte de Apache Qpid Proton-J incluye una capa wrapper opcional para realizar TLS, habilitado por el uso de los métodos "transport.ssl(...)". A menos que hubiese un modo de verificación explícito, los modos cliente y servidor se consideraban por defecto como documentados para así no verificar el certificado peer, con opciones para configurar esto de forma explícita o seleccionar un modo de verificación de certificado con o sin un proceso de verificación de nombres de host. Este último modo de verificación de nombres de host no se implementó en Apache Qpid Proton-J, de la versión 0.3 a la 0.29.0; los intentos para emplearlo resultaron en una excepción. Esto solo dejó una opción para verificar que se confía en el certificado, dejando que el cliente sea vulnerable a un ataque Man-in-the-Middle (MitM). Los usos del motor del protocolo Proton-J que no emplean el wrapper opcional de transporte TLS no se han visto impactados (p. ej., su uso en Qpid JMS). Los usos de Proton-J que empleen la capa wrapper opcional de transporte TLS que deseen habilitar la verificación de nombres de host deben actualizarse a la versión 0.30.0 o posteriores y emplear la configuración VerifyMode#VERIFY_PEER_NAME, que ahora es la predeterminada para el uso del modo cliente a no ser que se configure de otra forma.