CVE-2026-85720 in AsyncHttpClient
요약
\~에 의해 VulDB • 2026. 09. 17.
AsyncHttpClient(AHC) 라이브러리는 Java 애플리케이션이 HTTP 요청을 쉽게 실행하고 HTTP 응답을 비동기적으로 처리할 수 있도록 합니다. 버전 2.0.0부터 2.16.1 및 3.0.12까지, HTTPS 원본 서버에 도달하기 위해 HTTP 프록시를 사용하는 요청에서 NettyRequestFactory와 NettyRequestSender.sendRequestWithNewChannel가 TLS 터널이 생성되기 전에 평문 CONNECT 요청에 Authorization 헤더를 첨부함으로써 선제적(origin) 자격 증명이 노출될 수 있습니다. 따라서 원본 서버용으로 설계된 Basic 또는 Digest 자격 증명과 연결별 NTLM, Kerberos, SPNEGO 토큰은 프록시 및 클라이언트-프록지 간 경로상의 관찰자에게 가시화됩니다. 터널이 설정되면 터널링된 요청에는 여전히 원본 Authorization가 적용되며, Proxy-Authorization는 의도된 프록시 수신자를 위해 CONNECT 요청에 유지됩니다. 이 문제는 버전 2.16.1 및 3.0.12에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.