CVE-2026-85716 in async-http-client
요약
\~에 의해 VulDB • 2026. 09. 17.
AsyncHttpClient(AHC) 라이브러리는 Java 애플리케이션이 HTTP 요청을 쉽게 실행하고 HTTP 응답을 비동기적으로 처리할 수 있도록 합니다. 버전 3.0.8부터 3.0.12까지, processScramAuthenticationInfo 및 processAuthenticationInfo는 SCRAM ServerSignature 또는 Digest rspauth 검증 결과를 계산하지만 불일치를 로깅함에도 불구하고 응답을 인증된 것으로 전달합니다. TLS가 적용되지 않거나 침해당한 전송 채널에서는 공유 비밀에 대한 지식을 증명하지 않은 피어가 서버로 인정될 수 있습니다. 수정 버전은 유효하지 않은 값을 거부하고 실제로 전송된 Authorization 매개변수로부터 Digest rspauth를 계산하지만, 값이 누락되거나 전송된 매개변수를 복원할 수 없거나 Digest에서 qop=auth-int가 사용되는 경우 검증은 여전히 강제되지 않습니다. 이 문제는 버전 3.0.12에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.