🇰🇷 한글 설명
AsyncHttpClient(AHC) 라이브러리 3.0.12 버전에서 Digest qop=auth-int 방식 사용 시 상호 인증 검증이 건너뛰어지는 취약점이 발견되었습니다. 이로 인해 인증 정보를 모르는 피어라도 인증된 서버로 오인되어 수락될 수 있습니다.
💡 쉬운 설명
서버가 진짜인지 확인하는 과정에서 특정 보안 설정이 작동하지 않아, 가짜 서버가 진짜인 것처럼 속일 수 있는 문제입니다. 이를 통해 공격자가 중간에서 정보를 가로채거나 잘못된 서버와 연결될 위험이 있습니다.
🇺🇸 원문 (English)
The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. In 3.0.12, a peer offering only Digest qop=auth-int causes mutual-authentication verification to be skipped. AuthenticatorUtils.computeExpectedRspAuth returns no expected value for auth-int, and Interceptors treats that result as unverifiable but nonfatal, so a response with an invalid rspauth value is accepted. A peer that does not know the shared secret can therefore be accepted as the authenticated server. This issue is fixed in version 3.0.13.
📍 영향받는 시스템
AsyncHttpClient (AHC) version 3.0.12 and below
⚔️ 공격 벡터
Digest qop=auth-int를 사용하는 피어가 잘못된 인증 값을 보내어 인증 검증을 우회함
🛡️ 대응 방법
AsyncHttpClient 라이브러리를 3.0.13 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 async-httpclient의 버전이 3.0.12 이하인지 확인하십시오.
mvn dependency:list | grep 'async-httpclient'
💻 영향받는 소프트웨어
IBM WebSphere Application Server