CVE-2026-40542
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W Apache HttpClient 5.6 brakuje krytycznego kroku w uwierzytelnianiu, co pozwala atakującemu na wymuszenie akceptacji mechanizmu SCRAM-SHA-256 bez poprawnej weryfikacji wzajemnego uwierzytelnienia. Luka została naprawiona w wersji 5.6.1.
Ocena ryzyka
Organizacja narażona jest na ataki typu man-in-the-middle, gdzie atakujący może podszyć się pod serwer i przechwycić dane uwierzytelniające lub sesję.
Rekomendacja
Należy niezwłocznie zaktualizować Apache HttpClient do wersji 5.6.1 lub nowszej.
Inne podatności w Apache HttpClient
Zobacz wszystkie- CVE-2020-13956Średnie
Apache HttpClient w wersjach wcześniejszych niż 4.5.13 i 5.0.3 może błędnie interpretować nieprawidłowy komponent authority w URI żądań przekazywanych do biblioteki jako obiekt java.net.URI i wybrać niewłaściwy host docelowy do wykonania żądania.
- CVE-2013-4366Krytyczne
W Apache HttpClient w wersjach 4.3.x przed 4.3.1 nie zapewniono, że X509HostnameVerifier nie jest nullem, co może umożliwić atakującym wykorzystanie luk w weryfikacji nazw hostów.
Oryginalny opis (angielski, źródło NVD)
Missing critical step in authentication in Apache HttpClient 5.6 allows an attacker to cause the client to accept SCRAM-SHA-256 authentication without proper mutual authentication verification. Users are recommended to upgrade to version 5.6.1, which fixes this issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS