Java向けHTTPクライアントライブラリのCookie管理に深刻な脆弱性

Java向けHTTPクライアントライブラリ「AsyncHttpClient（AHC）」の深刻な脆弱性が明らかとなった。アップデートが呼びかけられている。

Cookieの自動管理に利用する「CookieStore」において、脆弱性「CVE-2024-53990」が明らかになったもの。複数のユーザーで同じ名前の「Cookie」が保存された場合に上書きされ、ユーザー間でCookieが共有されるおそれがあるという。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.2」と評価、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

同脆弱性は、「同3.0.0」に影響があり、開発チームでは脆弱性を解消した「同3.0.1」を現地時間12月2日にリリース。利用者にアップデートが呼びかけられている。

（Security NEXT - 2024/12/05 ）ツイート