CVE-2026-71290

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.3%
CWE: CWE-295
KEV Durumu: Hayır

Yayım tarihi: 11 Ağustos 2026

Etkilenen: apache httpclient

Apache HttpComponents Client 5.4 veya daha yeni sürümlerinde düzgün olmayan TLS ana bilgisayar adı doğrulama zafiyeti mevcuttur. HostnameVerificationPolicy#BUILTIN ayarı, HttpClient'in async sürümü ile kullanıldığında hiçbir etkisi yoktur. İstemci ve sunucu arasındaki trafiği engelleyip değiştirebilen bir saldırgan, farklı bir domaine ait geçerli bir sertifika sunarak sunucuyu taklit edebilir. Klasik HttpClient sürümünün bu zafiyetten etkilenmediği unutulmamalıdır. Etkilenen kullanıcıların en az 5.6.4 sürümüne yükseltmeleri, ki bu sürüm vấnımı düzeltmektedir, tavsiye edilir.

Orijinal açıklama (İngilizce)

Improper TLS hostname verification vulnerability in Apache HttpComponents Client 5.4 or newer. HostnameVerificationPolicy#BUILTIN setting has no effect when used with the async version of HttpClient. An attacker that can intercept and modify traffic between the client and the server can impersonate the server by presenting a valid certificate for a different domain. Please note the classic version of HttpClient is not affected by this vulnerability. Affected users are recommended to upgrade to at least version 5.6.4, which fixes the issue.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.