CVE-2026-85721
Açıklama
AsyncHttpClient (AHC) kütüphanesi, Java uygulamalarının kolayca HTTP istekleri yürütmesine ve HTTP yanıtlarını asenkron olarak işlemesine olanak tanır. 2.0.0 ile 2.16.1 ve 3.0.12 arasındaki sürümlerde, HTTP/1.1 yolundaki otomatik yanıt sıkıştırması açma işlemi, Http1ContentDecompressor'ı kümülatif bir çıktı boyutu sınırı olmaksızın kurmak için ChannelManager.newHttpContentDecompressor() kullanır. Kötü niyetli veya ele geçirilmiş bir sunucu ya da iletim sırasında bir yanıtı değiştirebilen bir saldırgan; istemci yığınını tüketene ve OutOfMemoryError hatası oluşana kadar parçalar halinde genişleyen küçük bir gzip, deflate veya snappy yanıtı gönderebilir; isteğe bağlı codec bileşenleri mevcut olduğunda brotli ve zstd de etkilenir. 3.0.8 ile 3.0.10 arasındaki sürümlerde, HTTP/2 sıkıştırma açıcı da sınırsızdır, bu nedenle protokol değiştirmek bu sürümlerde sorunu gidermez. Yanıt birçok küçük parça şeklinde teslim edilebildiği için her çözümleme çağrısına uygulanan bir sınır yetersizdir; bu nedenle düzeltilmiş uygulama, tüm yanıt için toplam sıkıştırılmış baytları takip eder. Bu sorun 2.16.1 ve 3.0.12 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- org.asynchttpclient:async-http-client3.0.12, 2.16.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.asynchttpclient:async-http-clientMaven | 3.0.0 ≤ v < 3.0.12, 2.0.0 ≤ v < 2.16.1 | 3.0.12, 2.16.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.