CVE-2026-85721
AsyncHttpClient: Unbounded HTTP/1.1 response decompression enables a decompression-bomb denial of service
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.16.1, 3.0.12
Обновите AsyncHttpClient до версий 2.16.1, 3.0.12 или более поздних.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
DoS-уязвимость по типу декомпрессионной бомбы в AsyncHttpClient из-за отсутствия лимита распаковки HTTP/1.1-ответов.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Механизм ChannelManager.newHttpContentDecompressor() инициализирует Http1ContentDecompressor без ограничения кумулятивного размера распаковываемых данных. Уязвимость затрагивает gzip, deflate, snappy, brotli и zstd.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
DoS клиентского приложения в результате исчерпания памяти кучи и ошибки OutOfMemoryError при обработке ответов вредоносного HTTP-сервера или при атаке MitM.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
AsyncHttpClientasync-http-client
>= 2.0.0➔Fix: 2.16.1
AsyncHttpClientasync-http-client
>= 3.0.0➔Fix: 3.0.12
——
>= 3.0.0➔Fix: 3.0.12
——
>= 2.0.0➔Fix: 2.16.1
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/AsyncHttpClient/async-http-client/security/advisories/GHSA-7grg-jcf7-rpmx
- github.comhttps://github.com/AsyncHttpClient/async-http-client/commit/5ee2841cbf268bba4a200578be3938ccfc6cc6d6
- github.comhttps://github.com/AsyncHttpClient/async-http-client/commit/663a1a91757904b22cfe37e2e6049f1f8ea6ae59
- github.comhttps://github.com/AsyncHttpClient/async-http-client/commit/e1871a19972fb496be1b8ac6be11d79e22ff2162
- github.comhttps://github.com/AsyncHttpClient/async-http-client/commit/e9f2f7423e0f6503f529656f2955a1317e56ba14
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-85721: AsyncHttpClient: Unbounded HTTP/1.1 response decompression enables a decompression-bomb denial of service. URL: https://cve.futuretools.ru/cve/CVE-2026-85721
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_85721,
title = {{CVE-2026-85721: AsyncHttpClient: Unbounded HTTP/1.1 response decompression enables a decompression-bomb denial of service}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-85721}},
note = {Оперативный инженерный анализ киберугроз}
}