async-http-client-check

Checker offline per i 26 advisory di sicurezza a livello di repository di org.asynchttpclient:async-http-client (AsyncHttpClient, "AHC"). Ti dice a quali il tuo jar è effettivamente esposto, segnala quelli che Dependabot e OSV non riescono a vedere, e fornisce una risposta per riga:

• 3.x → 3.0.14
• 2.x → non esiste una versione 2.x pulita. La linea 2.x è a fine vita; la sua ultima release 2.16.1 è ancora affetta da 5 advisory che non verranno corrette. L'unica soluzione è passare a 3.0.14.

Singolo jar, zero dipendenze a runtime, completamente offline, Java 17+.

Correzione (2026-10-12, v0.2.0). La v0.1.0 di questo strumento e del README diceva: "il database globale elenca solo 4 delle 17", "Dependabot ti dice di installare 3.0.12", "la risposta reale è 3.0.13 / 2.16.1". Tutte e tre erano vere il 2026-09-19 e nessuna è più vera: upstream ha pubblicato altre 5 advisory il 2026-09-24 (corrette in 3.0.14, non corrette sulla 2.x), e l'2026-10-08 il database globale di GitHub ha acquisito altre 9 voci. La v0.1.0 segnala 3.0.13 e 2.16.1 come pulite — non lo sono. Usa la v0.2.0.

---

Perché esiste

1. La linea 2.x è a fine vita, e la sua ultima release è ancora affetta

Il 2026-09-24 i manutentori hanno pubblicato cinque advisory. Ognuna termina la propria sezione Patches con la stessa frase:

La linea 2.x è a fine vita e non riceverà una correzione. Aggiorna a 3.0.14.

Tutte e cinque elencano un intervallo 2.x che termina a 2.16.1 — la release 2.x più recente su Maven Central — con una versione corretta vuota:

Advisory	Gravità	Intervallo 2.x	Cosa	Richiede
CVE-2026-107230	alta	>= 2.0.0, <= 2.16.1	Le connessioni in pool sono ancora condivise tra login NTLM / Negotiate / proxy (correzione incompleta di GHSA-vvp4-63h8-v5pm)	NTLM, Kerberos o SPNEGO verso un'origine o un proxy, o qualsiasi login su un proxy SOCKS / CONNECT, e richieste con identità diverse attraverso un unico client. Basic e Digest verso un'origine non sono affetti
CVE-2026-107227	alta	>= 2.2.0, <= 2.16.1	I messaggi WebSocket permessage-deflate vengono decompressi senza alcun limite di dimensione	setEnablewebSocketCompression(true) — disattivato per impostazione predefinita — e un server WebSocket non attendibile o in chiaro
CVE-2026-107228	media	>= 2.1.0, <= 2.16.1	Un header Cookie impostato con setHeader / addHeader viene sostituito dai cookie del cookie store (bypass della correzione di CVE-2024-53990)	Il cookie store, attivo per impostazione predefinita, che contiene qualsiasi cookie per quell'origine
CVE-2026-107226	media	>= 2.1.0, <= 2.16.1	Un cookie ricevuto su HTTP in chiaro può impiantare, sovrascrivere o eliminare un cookie Secure impostato su HTTPS	Un cookie store condiviso tra origini in chiaro e HTTPS dello stesso sito
CVE-2026-107229	media	>= 2.16.0, <= 2.16.1	Controlli di origine incompleti nel cookie store predefinito (sezione privata del public-suffix, host IP, …)	Un client che raggiunge più origini, una delle quali influenzata dall'attaccante

Sii preciso sulle due di gravità alta: nessuna delle due si applica a un client che effettua richieste semplici con impostazioni predefinite. CVE-2026-107227 richiede la compressione WebSocket attivata; CVE-2026-107230 richiede NTLM / Kerberos / SPNEGO o un proxy che richiede autenticazione. Le tre di gravità media sono quelle che toccano il cookie store predefinito. Questo strumento non sa come usi il client; riporta ciò che dice l'intervallo di versioni e lascia a te la decisione.

Ciò che cambia: "aggiorna a 2.16.1" non è più una risposta. Una versione 2.x più vecchia come 2.12.3 può essere portata a 2.16.1 per eliminare le advisory che hanno effettivamente una correzione 2.x — e dopo di che è ancora all'interno dei cinque intervalli sopra (aggiornare da una versione inferiore a 2.16.0 persino aggiunge CVE-2026-107229, il cui intervallo inizia a 2.16.0). Lo strumento stampa esattamente questo, ed esce con 1 per 2.16.1.

2. Al database globale mancano ancora 9 delle 26

Dependabot e OSV non leggono la pagina Security → Advisories del progetto. Leggono il database globale degli advisory di GitHub. Al 2026-10-12, GET /advisories/<GHSA> restituisce 404 per 9 delle 26 advisory del repository:

• 8 dei 17 pubblicati il 2026-08-09 (CVE-2026-107281, CVE-2026-107279, CVE-2026-107232, CVE-2026-107284, CVE-2026-102740, CVE-2026-102737, CVE-2026-85718, CVE-2026-85719) — due dei quali valutati high dai maintainer (CVE-2026-107232, CVE-2026-85719), entrambi riguardanti le credenziali del proxy;
• 1 dei 5 pubblicati il 2026-09-24 (CVE-2026-107229).

Il database sta recuperando — 4 del lotto di agosto sono arrivati il 2026-09-17, altri 5 il 2026-10-08 — quindi questo numero continuerà a cambiare. Ogni corrispondenza viene stampata con Dependabot/全局库:已收录 / 未收录 ("in / not in the global database"), e lo strumento stampa la data in cui è stata generata la sua tabella. tools/recheck_before_publish.py ti dice se il divario esiste ancora oggi.

Per la 3.x la conseguenza pratica ora è minima: calcolato dal solo database globale, il target è anch'esso 3.0.14. Per le versioni <= 3.0.11 i due avvisi high mancanti semplicemente non ti vengono mostrati.

Un'altra differenza che vale la pena conoscere: CVE-2026-107282 è valutato high dai maintainer e critical nel database globale. La tabella delle regole mantiene la valutazione dei maintainer.

3. La bomba di decompressione non richiede configurazione

CVE-2026-85721 (high) è quella che si applica alle impostazioni predefinite: la decompressione automatica delle risposte è attiva per impostazione predefinita, e il percorso HTTP/1.1 gonfia il body senza alcun limite alla dimensione totale. Un server malevolo o compromesso — o chiunque sia in grado di modificare la risposta in transito — può inviare un piccolo body gzip/deflate che esaurisce l'heap. Interessate: <= 3.0.11 e <= 2.16.0. Questa è nel database globale, quindi Dependabot genera un avviso al riguardo.

I confini non sono scritti in modo coerente

Gli intervalli mescolano >=, <=, <, un esplicito = 3.0.12 e un semplice 3.0.0. Lo stesso 3.0.11 è sicuro per CVE-2026-55688 (< 3.0.11) e interessato per CVE-2026-107232 (<= 3.0.11). La tabella delle regole mantiene ogni operatore esattamente come scritto; un'asserzione in tools/gen_rules.py e un unit test falliscono se il confine smette di comportarsi in questo modo. Qualsiasi frammento di intervallo che il parser non riconosce è un errore — mai "non interessato". Una versione corretta vuota è accettata solo quando il testo dell'avviso stesso afferma che la linea è end of life; viene memorizzata come "nessuna correzione su questa linea", mai come "non interessato".

Quando il repository e il database globale riportano entrambi un avviso ma non concordano sull'intervallo, la tabella delle regole prende l'unione. Oggi: CVE-2024-53990 (il repository elenca solo la versione 3.x 3.0.0, il database globale elenca anche la 2.x >= 2.1.0, < 2.12.4) e CVE-2026-107230 (stesso intervallo, scritto <= 3.0.13 da un lato e < 3.0.14 dall'altro).

E non analizza pom.xml — di proposito

AHC è di solito una dipendenza transitiva, trascinata da un SDK o da una libreria client. L'artifactId potrebbe non comparire mai nel tuo pom.xml. Questo strumento legge META-INF/maven/org.asynchttpclient/async-http-client/pom.properties all'interno dei jar che vengono effettivamente distribuiti — inclusi i jar annidati in un fat-jar Spring Boot (BOOT-INF/lib) o in un WAR (WEB-INF/lib). La coordinata legacy 1.x com.ning:async-http-client ha lo stesso artifactId; è elencata ma non valutata.

Utilizzo