CVE-2026-85718 in Async Http Client
요약
\~에 의해 VulDB • 2026. 09. 17.
AsyncHttpClient(AHC) 라이브러리는 Java 애플리케이션이 HTTP 요청을 쉽게 실행하고 HTTP 응답을 비동기적으로 처리할 수 있도록 합니다. 버전 3.0.8부터 3.0.12까지, maxConnections 또는 maxConnectionsPerHost가 0보다 크게 설정된 클라이언트는 TLS 연결 수립이 핸드셰이크 완료 전에 실패할 때마다 하나의 연결 허용(permit)을 누수(leak)합니다. NettyConnectListener는 모든 오류 경로(channel closeFuture에 바인딩되기 전)에서 NettyResponseFuture로부터 partitionKeyLock 허용을 제거하므로, 중단(aborts) 시 해당 허용이 해제되지 않고 남게 됩니다. 반복적인 실패로 인해 호스트별 제한 하에서는 특정 호스트가 영구적으로 차단되거나, 글로벌 제한 하에서는 공유 풀(pool)이 고갈되어 연결이 남아 있지 않더라도 이후 요청들이 차단될 수 있습니다. 기본값인 무제한 연결 설정은 영향을 받지 않습니다. 이 문제는 버전 3.0.12에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.