CVE-2026-107282: AsyncHttpClient: reexecução de requisição entre hosts expõe credenciais e tráfego

Visão geral

O AsyncHttpClient (AHC) é uma biblioteca Java para executar requisições HTTP e tratar respostas de forma assíncrona. Segundo o aviso do GitHub, quando uma requisição é reexecutada entre hosts, a requisição atual é atualizada, mas a requisição alvo e o contexto de proxy relacionado continuam apontando para a origem original. A falha é classificada como CWE-319, Transmissão de Informações Sensíveis em Texto Plano.

Impacto

O registro afirma que a seleção de pool de conexões, o tratamento de CONNECT, a seleção de realm e a configuração de TLS podem enviar ao destino da reexecução o caminho, o cabeçalho Host, as credenciais Authorization do host original ou a requisição em texto plano.
O vetor CVSS 4.0 do registro indica impacto alto em confidencialidade e integridade e impacto nulo em disponibilidade.
Caminhos documentados de failover e retry com ResponseFilter podem disparar a reexecução, segundo o registro.

Produtos e versões afetadas

O registro indica que o problema afeta versões anteriores à 3.0.13 e anteriores à 2.16.1 do AsyncHttpClient.
O registro indica que o problema está corrigido na versão 3.0.13 e na versão 2.16.1.
Os campos estruturados de produtos afetados e correções do registro estão vazios, por isso os intervalos acima vêm apenas da descrição textual.

Status de exploração

O registro mostra que a CVE não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
A probabilidade EPSS no registro é 0,00189, com percentil 0,07876, datada de 13/10/2026.

Correção e mitigação

Atualize o AsyncHttpClient para 3.0.13 ou 2.16.1, conforme a linha de release em uso, conforme o histórico de commits.
Revise aplicações que usam lógica de failover ou retry com ResponseFilter, já que o registro afirma que esses caminhos podem disparar a reexecução.
Enquanto a atualização não for possível, avalie se credenciais ou dados sensíveis trafegam por clientes que seguem reexecuções entre hosts, e limite a exposição quando viável.
Revise as configurações de proxy usadas com o AHC, já que o registro cita o contexto de proxy como parte do problema.

Orientação para detecção

Analise logs de aplicação e telemetria de rede em busca de requisições de saída de serviços baseados em AHC para hosts não esperados em determinada operação, principalmente após eventos de retry ou failover.
Procure valores de cabeçalho Host inesperados ou conexões em texto plano para destinos internos ou externos a partir de serviços que deveriam usar TLS.
Faça inventário das versões de dependências para identificar serviços que ainda executam releases anteriores à 3.0.13 ou à 2.16.1.

Limitações das informações disponíveis

O registro não inclui dados estruturados de produtos, versões ou correções, e o intervalo afetado é inferido apenas do texto da descrição.
O registro não traz um detalhamento técnico do problema, e esta análise não o fornece.
Não há, nas fontes consultadas, confirmação independente de exploração, do impacto real em produção nem das condições exatas necessárias para explorar o problema.

Perguntas frequentes

Quais versões do AsyncHttpClient estão corrigidas na CVE-2026-107282?

O registro indica que o problema está corrigido nas versões 3.0.13 e 2.16.1, e as versões anteriores são descritas como afetadas.

Esta CVE é conhecida por ser explorada na natureza?

O registro mostra que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.