p PatchFirst

CVE-2026-107227

CVE-2026-107227 · AsyncHttpClient: Unbounded WebSocket permessage-deflate decompression enables a decompression-bomb denial of service when compression is enabled

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. From 2.2.0 until 3.0.14, WebSocket permessage-deflate decompression is unbounded when compression is enabled. The inbound pipeline aggregates compressed frames before WebSocketClientCompressionHandler inflates them, so webSocketMaxFrameSize and webSocketMaxBufferSize do not bound decompressed output. A malicious WebSocket peer can send a small compressed message that expands to a very large Netty buffer and exhausts JVM heap. This issue is fixed in version 3.0.14.

CVSS 7.5 · Hoch · EPSS 0,4%

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • async-http-client

    Softwareversionen
    • >= 3.0.0, < 3.0.14: Betroffen
    • >= 2.2.0, <= 2.16.1: Betroffen

    Keine Korrektur veröffentlicht

  • async-http-client Debian:12

    Softwareversionen
    • 2.12.3-1
    • 2.12.3-1+deb12u1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:Pro:14.04:LTS

    Softwareversionen
    • 1.6.5-1
    • 1.6.5-2
    • 1.6.5-2ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:16.04:LTS

    Softwareversionen
    • 1.6.5-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:18.04:LTS

    Softwareversionen
    • 1.6.5-4
    • 1.6.5-5
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 2.6.0-1
    • 2.6.0-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:22.04:LTS

    Softwareversionen
    • 2.12.2-1
    • 2.12.3-1
    • 2.12.3-1ubuntu0.22.04.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:24.04:LTS

    Softwareversionen
    • 2.12.3-1
    • 2.12.3-1ubuntu0.24.04.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:26.10

    Softwareversionen
    • 2.12.3-1ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:26.04:LTS

    Softwareversionen
    • 2.12.3-1
    • 2.12.3-1ubuntu1
    • 2.12.3-1ubuntu1.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →