CVE-2026-107285 in async-http-client
Zusammenfassung
von VulDB • 07.10.2026
Die AsyncHttpClient (AHC)-Bibliothek ermöglicht es Java-Anwendungen, HTTP-Anfragen einfach auszuführen und HTTP-Antworten asynchron zu verarbeiten. Vor den Versionen 3.0.12 und 2.16.1 wird eine proxysierte WebSocket-Verbindung über CONNECT weitergeleitet; jedoch entscheiden NettyRequestFactory.newNettyRequest und requestUri nur daran, ob Proxy-Authentifizierung und ein Ziel in absoluter Form angehängt werden, ob die URI als sicher markiert ist. Da WebSocket nicht als sicher eingestuft wird, enthält das an den Ursprung gesendete getunnelte WebSocket-Upgrade den Proxy-Authorization-Wert des Proxys. Basic-Anmeldeinformationen sind direkt wiederherstellbar, und Digest-Antworten können offline repliziert oder geknackt werden. Dieses Problem wurde in den Versionen 3.0.12 und 2.16.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.