🇰🇷 한글 설명
AsyncHttpClient(AHC) 라이브러리의 특정 버전에서 SCRAM 인증 과정 중 인증 정보 불일치가 발생해도 로그만 남길 뿐 인증된 응답으로 처리하는 취약점이 발견되었습니다. 이로 인해 TLS가 적용되지 않거나 전송 계층이 탈취된 환경에서 인증되지 않은 서버가 인증된 것처럼 위장할 수 있습니다.
💡 쉬운 설명
인증 정보가 틀렸음에도 불구하고 프로그램이 이를 무시하고 '인증 성공'으로 잘못 판단하는 보안 결함입니다. 이를 통해 해커가 가짜 서버를 진짜 서버인 것처럼 속여 데이터를 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and asynchronously process HTTP responses. From 3.0.8 until 3.0.12, processScramAuthenticationInfo and processAuthenticationInfo compute the SCRAM ServerSignature or Digest rspauth verification result but log a mismatch and still deliver the response as authenticated. On a non-TLS or compromised transport, a peer that has not proved knowledge of the shared secret can therefore be accepted as the server. The fix rejects a present invalid value and computes Digest rspauth from the Authorization parameters actually sent, but verification remains unenforced when the value is absent, the sent parameters cannot be recovered, or Digest uses qop=auth-int. This issue is fixed in version 3.0.12.
📍 영향받는 시스템
AsyncHttpClient (AHC) version 3.0.8 to 3.0.12
⚔️ 공격 벡터
비암호화(non-TLS) 통신 또는 통신 경로가 탈취된 환경에서 인증 정보 불일치를 이용한 서버 위장 공격
🛡️ 대응 방법
AsyncHttpClient 라이브러리를 취약점이 해결된 버전인 3.0.12 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 라이브러리 버전이 나타나면 취약한 버전이 프로젝트에 포함되어 있는 것입니다.
mvn dependency:tree | grep -E 'async-httpclient:[3\[0\.[8-9]|3\.0\.1[0-2]]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server