AsyncHttpClient async-http-client: Offenlegung von Zugangsdaten bei Replay auf anderen Host

Zusammenfassung

AsyncHttpClient (AHC), eine Java-Bibliothek für ausgehende HTTP-Aufrufe, aktualisiert beim Wiederholen einer Anfrage an einen anderen Host den Ziel-, Proxy- und Verbindungspool-Kontext nicht. Anfragen können dadurch den ursprünglichen Pfad, Host-Header, Authorization-Zugangsdaten oder Klartextinhalte an das Ziel des Replays senden. Die Schwachstelle wird über dokumentierte ResponseFilter-Failover- und Retry-Pfade ausgelöst, daher ist sie nur relevant, wenn eine Anwendung diese verwendet und ein Angreifer das Replay-Ziel beeinflussen kann.

Betroffen

• async-http-client 3.0.0 bis vor 3.0.13
• async-http-client 2.0.0 bis vor 2.16.1
• Downstream-Produkte, die diese Versionen einbetten (Abhängigkeitsbäume prüfen, z. B. Red Hat Fuse 7 und Debian bookworm Paket 2.12.3-1 laut Spiegelungen; Betroffenheit der Herstellerpakete unbekannt)

Behoben in

• async-http-client 3.0.13
• async-http-client 2.16.1
• Korrigierte Paketversionen von Downstream-Produkten: Unbekannt.

Umgehung

• Sofern die Anwendung keine ResponseFilter-Failover- oder Retry-Pfade benötigt, Cross-Host-Replay- und Retry-Mechanismen deaktivieren oder entfernen.
• Keine weitere vom Hersteller freigegebene Massnahme bekannt.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog; vom Hol.org-Feed nicht als aktiv ausgenutzt markiert.
• Kein öffentlicher Proof of Concept gefunden; dies ist keine bestätigte Abwesenheit.
• EPSS-Wert 0.00189.

Unsere Empfehlung

• Java-Anwendungen und Abhängigkeiten inventarisieren (SBOM, transitive Abhängigkeiten), um async-http-client zu finden.
• Auf 3.0.13 oder 2.16.1 aktualisieren; nicht bei einer nahen Version stehen bleiben.
• Falls ein Patch nicht sofort möglich ist, ResponseFilter-Failover- und Retry-Pfade deaktivieren, die auf andere Hosts wiederholen.
• Anwendungen prüfen, die Zugangsdaten über solche Replays senden, und Zugangsdaten bei Verdacht auf Fehlleitung rotieren.
• Ausgehende Verbindungen auf unerwartete Ziele überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-jmqq-x5g9-9p2w github.com
• Fix commit 15b2545 (replay target and proxy) github.com
• Fix commit bbc31ae (replay target and proxy) github.com
• Release 3.0.13 github.com
• Release 2.16.1 github.com
• OSV GHSA-jmqq-x5g9-9p2w osv.dev
• Hol.org CVE record hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:12.