AsyncHttpClient async-http-client: Herabstufung von Digest auf Basic gefährdet Passwort

Zusammenfassung

AsyncHttpClient ist eine Java-Bibliothek für asynchrone HTTP-Anfragen. Eine Digest-Challenge ohne verwertbares Nonce wurde als Basic-Challenge behandelt, sodass der Client Benutzername und Passwort base64-kodiert erneut sendete, was sich leicht zurückrechnen lässt. Ein Angreifer, der HTTP-Challenges senden kann, etwa ein bösartiger oder kompromittierter Origin-Server, ein Proxy oder ein Angreifer auf einem unverschlüsselten Netzwerkpfad, kann diese Zugangsdaten ohne Benutzerinteraktion erlangen.

Betroffen

• async-http-client 2.x von 2.0.0 bis 2.16.0
• async-http-client 3.x von 3.0.0.Beta1 bis 3.0.12

Behoben in

• 2.16.1
• 3.0.13
• Hinweis: Die Advisory nennt nur diese beiden Versionen; 3.0.14 existiert, wurde aber für diese CVE nicht geprüft.

Umgehung

• Ein Upgrade ist die empfohlene Behebung.
• Falls kein Patch möglich ist, die Anwendung so konfigurieren, dass Basic-Authentifizierung abgelehnt wird, wo nur Digest erwartet wird, und die Authentifizierung über TLS erzwingen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept in den geprüften Quellen.
• Die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: yes.
• Der CISA-KEV-Katalog wurde nicht direkt geprüft.

Unsere Empfehlung

• Java-Anwendungen und SBOMs auf org.asynchttpclient:async-http-client prüfen, inklusive transitiver Abhängigkeiten.
• Versionen unter 2.16.1 (2.x-Linie) bzw. unter 3.0.13 (3.x-Linie) markieren.
• Nach Regressionstests auf 3.0.13 oder neuer aktualisieren bzw. auf 2.16.1 für die 2.x-Linie.
• Wo verwundbare Versionen Zugangsdaten über unsichere Netzwerke gesendet haben, Zugangsdaten rotieren.
• Integrationen priorisieren, die Drittanbieter-Endpunkte aufrufen, ausgehende Proxys nutzen oder HTTP verwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-rqf5-2wxv-rjf4 github.com
• Fix commit 8376866 (Realm.java) github.com
• Fix commit c8d639b github.com
• Release async-http-client 3.0.13 github.com
• Release async-http-client 2.16.1 github.com
• OSV CVE-2026-107231 osv.dev
• GitHub Advisory range (GitLab advisory database) advisories.gitlab.com
• VulDB CVE-2026-107231 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:23.