CVE-2026-85719
Təsvir
AsyncHttpClient (AHC) kitabxanası Java tətbiqlərinə HTTP sorğularını asanlıqla yerinə yetirməyə və HTTP cavablarını asinxron şəkildə emal etməyə imkan verir. 2.1.0 versiyasından 2.16.1 və 3.0.12 versiyalarına qədər olan dövrdə, autentifikasiya olunmuş SOCKS proksisindən istifadə edən sorğular proksi məlumatlarını mənşəyə (origin) sızdıra bilər, çünki NettyRequestFactory və NettyRequestSender sorğunun HTTP proksisinə göndərildiyini təsdiqləmədən Proxy-Authorization başlığını əlavə edir. Preemptiv proksi autentifikasiyası zamanı bu başlıq açıq mətnli HTTP sorğusuna əlavə edilir və birbaşa geri qaytarıla bilən Basic kimlik məlumatları kimi məlumatlar mənşəyə sızdırılır. Defolt qeyri-preemptiv axın zamanı isə bədniyyətli mənşə 407 cavabı qaytara bilər və ProxyUnauthorized407Interceptor proksi kimlik məlumatlarını, o cümlədən NTLM, Kerberos və SPNEGO məlumatlarını mövcud SOCKS tuneli vasitəsilə göndərir. 2.1.0 versiyasından əvvəlki buraxılışlarda SOCKS proksi dəstəyi yoxdur. Bu problem 2.16.1 və 3.0.12 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| AsyncHttpClient async-http-client | >= 2.1.0, < 2.16.1, >= 3.0.0, < 3.0.12 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.