CVE-2026-40490

AsyncHttpClient (AHC) kütüphanesi, Java uygulamalarının kolayca HTTP istekleri yürütmesine ve HTTP yanıtlarını asenkron olarak işlemesine olanak tanır. Yönlendirme takibi etkinleştirildiğinde (followRedirect(true)), AsyncHttpClient'ın 3.0.9 ve 2.14.5 öncesindeki sürümleri; alan adı, şema veya port değişikliklerine bakılmaksızın Authorization ve Proxy-Authorization başlıklarını Realm kimlik bilgileriyle birlikte rastgele yönlendirme hedeflerine iletir. Bu durum, çapraz alan adı yönlendirmelerinde ve HTTPS'ten HTTP'ye düşürme işlemlerinde kimlik bilgilerinin sızmasına neden olur. Ayrıca, stripAuthorizationOnRedirect true olarak ayarlandığında bile, düz metin kimlik bilgileri içeren Realm nesnesi yönlendirme isteğine aktarılmaya devam eder ve bu da NettyRequestFactory aracılığıyla Basic ve Digest kimlik doğrulama şemaları için kimlik bilgilerinin yeniden oluşturulmasına yol açar. Bir yönlendirme hedefini kontrol eden bir saldırgan (açık yönlendirme, DNS rebinding veya HTTP üzerinde MITM yoluyla), Bearer token'larını, Basic kimlik doğrulama bilgilerini veya diğer herhangi bir Authorization başlığı değerini ele geçirebilir. 3.0.9 ve 2.14.5 sürümlerindeki düzeltme, bir yönlendirme köken sınırlarını geçtiğinde (farklı şema, ana bilgisayar veya port) veya HTTPS'ten HTTP'ye düştüğünde Authorization ve Proxy-Authorization başlıklarını otomatik olarak kaldırır ve Realm kimlik bilgilerini temizler. Güncelleme yapamayan kullanıcılar, istemci yapılandırmasında `(stripAuthorizationOnRedirect(true))` ayarını yapmalı ve yönlendirme takibi etkinken Realm tabanlı kimlik doğrulaması kullanmaktan kaçınmalıdır. 3.0.9 ve 2.14.5 öncesindeki sürümlerde tek başına `(stripAuthorizationOnRedirect(true))` ayarının yetersiz olduğu unutulmamalıdır çünkü Realm baypası kimlik bilgilerini yeniden oluşturmaya devam eder. Alternatif olarak, yönlendirme takibi devre dışı bırakılabilir (`followRedirect(false)`) ve yönlendirmeler köken doğrulaması ile manuel olarak yönetilebilir.