🇰🇷 한글 설명
AsyncHttpClient(AHC) 라이브러리의 ThreadSafeCookieStore가 응답 호스트의 Domain 속성 검증 없이 쿠키를 저장하여 쿠키 토싱/주입 취약점이 발생합니다. 연결된 호스트가 무관한 도메인에 쿠키를 심을 수 있으며, 클라이언트는 이후 해당 도메인 요청에 그 쿠키를 전송합니다. 2.16.0 및 3.0.11에서 수정되었습니다.
💡 쉬운 설명
HTTP 클라이언트 라이브러리가 서버가 지정한 쿠키 도메인을 검증하지 않아 악성 서버가 다른 사이트용 쿠키를 몰래 심을 수 있습니다. 이 쿠키가 신뢰하는 사이트로 전송되어 문제가 생길 수 있습니다.
🇺🇸 원문 (English)
The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. In versions from 2.0.0 prior to 2.16.0 and from 3.0.0.Beta1 prior to 3.0.11, ThreadSafeCookieStore stored a cookie under the value of its Domain attribute without verifying that the responding host is allowed to set a cookie for that domain, leading to a cookie tossing / cookie injection issue. A host the client connects to can therefore plant a cookie scoped to an unrelated domain, and the client will then send that cookie on later requests to that domain. Applications that use a single AsyncHttpClient instance - and thus the default, shared CookieStore - to reach both an attacker-influenced host and a trusted host are impacted. This issue has been fixed in versions 2.16.0 and 3.0.11.
📍 영향받는 시스템
AsyncHttpClient(AHC) Java 라이브러리 2.0.0~2.15.x 및 3.0.0.Beta1~3.0.10 (수정: 2.16.0, 3.0.11)
⚔️ 공격 벡터
공격자가 제어하는 호스트가 무관한 도메인 범위의 쿠키를 설정하고, 동일한 공유 CookieStore를 사용하는 클라이언트가 신뢰 호스트 요청 시 이를 전송하도록 유도
🛡️ 대응 방법
AsyncHttpClient를 2.16.0 이상 또는 3.0.11 이상으로 업그레이드하고, 신뢰/비신뢰 호스트에 별도 인스턴스나 쿠키 저장소를 사용
🔧 검증 코드
출력된 jar 파일명의 버전이 2.16.0 미만(2.x) 또는 3.0.11 미만(3.0.x)이면 취약하며, 그 이상이면 패치된 버전입니다.
find / -name 'async-http-client*.jar' 2>/dev/null -exec basename {} \;