CVE-2026-64607

ŚrednieCVSS 5.3

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 13/08/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

W Apache HttpComponents Client w wersjach od 5.0-alpha1 do 5.6.2, klient HTTP oparty na klasycznym modelu I/O niepoprawnie zwraca połączenie do menedżera połączeń, gdy napotka nieprawidłową lub nieobsługiwaną wartość nagłówka Content-Encoding w odpowiedzi. Błąd nie dotyczy klienta opartego na async I/O.

Ocena ryzyka

Ryzyko polega na wycieku połączeń, co może prowadzić do wyczerpania puli połączeń i odmowy usługi (DoS) dla aplikacji korzystających z tego klienta HTTP.

Rekomendacja

Zaleca się aktualizację Apache HttpComponents Client do wersji 5.6.3 lub nowszej, która zawiera poprawkę.

Inne podatności w Apache HttpComponents Client

CVE-2026-71290Krytyczne
Niewłaściwa weryfikacja nazwy hosta TLS w Apache HttpComponents Client 5.4 lub nowszym. Ustawienie HostnameVerificationPolicy#BUILTIN nie działa w wersji asynchronicznej HttpClient. Atakujący, który może przechwycić i modyfikować ruch między klientem a serwerem, może podszyć się pod serwer, prezentując ważny certyfikat dla innej domeny. Klasyczna wersja HttpClient nie jest dotknięta problemem. Zalecana jest aktualizacja do wersji 5.6.4.

Oryginalny opis (angielski, źródło NVD)

HttpClient based on the classic i/o model fails to correctly release the underlying connection back to the connection manager if it encounters an invalid or unsupported `Content-Encoding` header value in the response message. Please note this defect does not affect HttpClient based on the async i/o model. This issue affects Apache HttpComponents Client: from 5.0-alpha1 through 5.6.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS