CVE-2026-85720
Açıklama
AsyncHttpClient (AHC) kütüphanesi, Java uygulamalarının kolayca HTTP istekleri yürütmesine ve HTTP yanıtlarını asenkron olarak işlemesine olanak tanır. 2.0.0 ile 2.16.1 ve 3.0.12 arasındaki sürümlerde, bir HTTPS kaynağına ulaşmak için HTTP proxy kullanan bir istek; NettyRequestFactory ve NettyRequestSender.sendRequestWithNewChannel'ın, TLS tüneli henüz mevcut değilken Authorization bilgisini düz metin CONNECT isteğine eklemesi nedeniyle önleyici kaynak kimlik bilgilerini açığa çıkarabilir. Bu nedenle, kaynak için amaçlanan Basic veya Digest kimlik bilgileri ile bağlantı başına NTLM, Kerberos veya SPNEGO belirteçleri, proxy tarafından ve istemci-proxy arasındaki geçişteki gözlemciler tarafından görülebilir. Tünellenmiş istek, tünel kurulduktan sonra hala kaynak Authorization bilgisini alırken, Proxy-Authorization hedef proxy alıcısı için CONNECT üzerinde kalmaya devam eder. Bu sorun 2.16.1 ve 3.0.12 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- org.asynchttpclient:async-http-client3.0.12, 2.16.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.asynchttpclient:async-http-clientMaven | 3.0.0 ≤ v < 3.0.12, 2.0.0 ≤ v < 2.16.1 | 3.0.12, 2.16.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.