🇰🇷 한글 설명
AsyncHttpClient(AHC) 라이브러리의 Realm.Builder가 HTTP Digest 클라이언트 nonce를 생성할 때 암호학적으로 안전한 난수 생성기 대신 ThreadLocalRandom을 사용합니다. 이로 인해 공격자가 생성기 상태를 추론할 경우 인증 과정의 보호 기능이 약화될 수 있습니다.
💡 쉬운 설명
인증 과정에서 사용하는 무작위 암호 키가 예측 가능한 방식으로 만들어지는 보안 결함입니다. 해커가 이 규칙을 알아내면 사용자의 인증 정보를 가로채거나 공격하기 쉬워집니다.
🇺🇸 원문 (English)
The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. Prior to 3.0.12 and 2.16.1, Realm.Builder generates the HTTP Digest client nonce with ThreadLocalRandom rather than a cryptographically secure random source. Digest relies on an unpredictable cnonce to resist chosen-plaintext and credential precomputation attacks, so an observer able to infer generator state can reduce the protection of the authentication exchange. This issue is fixed in versions 3.0.12 and 2.16.1.
📍 영향받는 시스템
AsyncHttpClient (AHC) versions prior to 3.0.12 and 2.16.1
⚔️ 공격 벡터
암호화된 난수 생성기의 상태를 추론하여 예측 가능한 nonce 값을 생성함으로써 인증 메커니즘을 무력화함
🛡️ 대응 방법
AsyncHttpClient 라이브러리를 3.0.12 또는 2.16.1 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 라이브러리 버전이 3.0.12 또는 2.16.1 미만인지 확인하여 취약 여부를 판단합니다.
mvn dependency:tree | grep -E 'async-httpclient:(2\.[0-9]+\.[0-9]+|3\.[0-9]+\.[0-9]+)'