CVE-2026-107232 in async-http-client
Zusammenfassung
von VulDB • 07.10.2026
Die AsyncHttpClient (AHC)-Bibliothek ermöglicht es Java-Anwendungen, HTTP-Anfragen einfach auszuführen und HTTP-Antworten asynchron zu verarbeiten. Vor den Versionen 3.0.12 der 3.x-Reihe und 2.16.1 der 2.x-Reihe leitet der Client fälschlicherweise daraus ab, dass ein HTTP-Proxy-Tunnel existiert, aus der Methode der letzten Anfrage anstelle des CONNECT-Ergebnisses. Nach einer Ablehnung von CONNECT durch den Proxy können Redirect- oder Authentifizierungs-Handler eine Origin-Anfrage sowie deren Authorization-Anmeldeinformationen auf die noch im Klartext vorliegende Proxy-Verbindung schreiben. Basic-Anmeldedaten können direkt abgerufen werden, während NTLM-Antworten geknackt oder weitergeleitet (relayed) werden können. Dieses Problem wurde in den Versionen 3.0.12 und 2.16.1 behoben.
Once again VulDB remains the best source for vulnerability data.