p PatchFirst

CVE-2026-107232

CVE-2026-107232 · AsyncHttpClient: Origin credentials sent in cleartext to a proxy that rejects the CONNECT

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. Prior to 3.0.12 on 3.x and 2.16.1 on 2.x, the client infers that an HTTP proxy tunnel exists from the last request method rather than the CONNECT result. After a proxy rejects CONNECT, redirect or authentication handlers can write an origin request and its Authorization credentials onto the still-plaintext proxy connection. Basic credentials can be recovered directly, while NTLM responses may be cracked or relayed. This issue is fixed in versions 3.0.12 and 2.16.1.

CVSS 7.5 · Élevée · EPSS 0,2%

Publication
Mise à jour

Pile logicielle: system

Produits et versions concernés

  • async-http-client

    Versions du logiciel
    • >= 3.0.0, < 3.0.12: Concernée
    • >= 2.0.0, < 2.16.1: Concernée

    Aucun correctif publié

  • async-http-client Debian:12

    Versions du logiciel
    • 2.12.3-1
    • 2.12.3-1+deb12u1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:Pro:14.04:LTS

    Versions du logiciel
    • 1.6.5-1
    • 1.6.5-2
    • 1.6.5-2ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:16.04:LTS

    Versions du logiciel
    • 1.6.5-4
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:18.04:LTS

    Versions du logiciel
    • 1.6.5-4
    • 1.6.5-5
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 2.6.0-1
    • 2.6.0-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:22.04:LTS

    Versions du logiciel
    • 2.12.2-1
    • 2.12.3-1
    • 2.12.3-1ubuntu0.22.04.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:24.04:LTS

    Versions du logiciel
    • 2.12.3-1
    • 2.12.3-1ubuntu0.24.04.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:26.10

    Versions du logiciel
    • 2.12.3-1ubuntu1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • async-http-client Ubuntu:26.04:LTS

    Versions du logiciel
    • 2.12.3-1
    • 2.12.3-1ubuntu1
    • 2.12.3-1ubuntu1.1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →