CVE-2026-40542

WysokieCVSS 7.3

Opublikowano: 22/04/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.56%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

W Apache HttpClient 5.6 brakuje krytycznego kroku w uwierzytelnianiu, co pozwala atakującemu na wymuszenie akceptacji mechanizmu SCRAM-SHA-256 bez poprawnej weryfikacji wzajemnego uwierzytelnienia. Luka została naprawiona w wersji 5.6.1.

Ocena ryzyka

Organizacja narażona jest na ataki typu man-in-the-middle, gdzie atakujący może podszyć się pod serwer i przechwycić dane uwierzytelniające lub sesję.

Rekomendacja

Należy niezwłocznie zaktualizować Apache HttpClient do wersji 5.6.1 lub nowszej.

Inne podatności w Apache HttpClient

CVE-2013-4366Krytyczne
W Apache HttpClient w wersjach 4.3.x przed 4.3.1 nie zapewniono, że X509HostnameVerifier nie jest nullem, co może umożliwić atakującym wykorzystanie luk w weryfikacji nazw hostów.

Oryginalny opis (angielski, źródło NVD)

Missing critical step in authentication in Apache HttpClient 5.6 allows an attacker to cause the client to accept SCRAM-SHA-256 authentication without proper mutual authentication verification. Users are recommended to upgrade to version 5.6.1, which fixes this issue.