CVE-2026-85719
Açıklama
AsyncHttpClient (AHC) kütüphanesi, Java uygulamalarının kolayca HTTP istekleri yürütmesine ve HTTP yanıtlarını asenkron olarak işlemesine olanak tanır. 2.1.0 ile 2.16.1 ve 3.0.12 arasındaki sürümlerde, kimliği doğrulanmış bir SOCKS proxy kullanan istekler; NettyRequestFactory ve NettyRequestSender, isteğin bir HTTP proxy'sine gönderildiğini onaylamadan Proxy-Authorization başlığını eklediği için proxy kimlik bilgilerini hedef sunucuya ifşa edebilir. Önleyici (preemptive) proxy kimlik doğrulamasıyla, başlık düz metin bir HTTP isteğine eklenerek doğrudan geri döndürülebilir Basic kimlik bilgileri gibi veriler hedef sunucuya ifşa edilir. Varsayılan önleyici olmayan akışta ise kötü niyetli bir hedef sunucu 407 yanıtı döndürebilir ve ProxyUnauthorized407Interceptor; NTLM, Kerberos ve SPNEGO kimlik bilgileri dahil olmak üzere proxy kimlik bilgilerini mevcut SOCKS tüneli üzerinden gönderir. 2.1.0 öncesindeki sürümler SOCKS proxy desteğinden yoksundur. Bu sorun 2.16.1 ve 3.0.12 sürümlerinde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| AsyncHttpClient async-http-client | >= 2.1.0, < 2.16.1, >= 3.0.0, < 3.0.12 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.