p PatchFirst

CVE-2026-107232

CVE-2026-107232 · AsyncHttpClient: Origin credentials sent in cleartext to a proxy that rejects the CONNECT

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. Prior to 3.0.12 on 3.x and 2.16.1 on 2.x, the client infers that an HTTP proxy tunnel exists from the last request method rather than the CONNECT result. After a proxy rejects CONNECT, redirect or authentication handlers can write an origin request and its Authorization credentials onto the still-plaintext proxy connection. Basic credentials can be recovered directly, while NTLM responses may be cracked or relayed. This issue is fixed in versions 3.0.12 and 2.16.1.

CVSS 7.5 · Hoch · EPSS 0,2%

Veröffentlicht
Aktualisiert

Technologie-Stack: system

Betroffene Produkte und Versionen

  • async-http-client

    Softwareversionen
    • >= 3.0.0, < 3.0.12: Betroffen
    • >= 2.0.0, < 2.16.1: Betroffen

    Keine Korrektur veröffentlicht

  • async-http-client Debian:12

    Softwareversionen
    • 2.12.3-1
    • 2.12.3-1+deb12u1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:Pro:14.04:LTS

    Softwareversionen
    • 1.6.5-1
    • 1.6.5-2
    • 1.6.5-2ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:16.04:LTS

    Softwareversionen
    • 1.6.5-4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:18.04:LTS

    Softwareversionen
    • 1.6.5-4
    • 1.6.5-5
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 2.6.0-1
    • 2.6.0-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:22.04:LTS

    Softwareversionen
    • 2.12.2-1
    • 2.12.3-1
    • 2.12.3-1ubuntu0.22.04.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:24.04:LTS

    Softwareversionen
    • 2.12.3-1
    • 2.12.3-1ubuntu0.24.04.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:26.10

    Softwareversionen
    • 2.12.3-1ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • async-http-client Ubuntu:26.04:LTS

    Softwareversionen
    • 2.12.3-1
    • 2.12.3-1ubuntu1
    • 2.12.3-1ubuntu1.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →