「Apache HttpClient」にドメイン検証を無効化する脆弱性

「Apache HttpClient」のドメイン検証処理に脆弱性が明らかとなった。脆弱性を修正するアップデートが提供されている。

「パブリックサフィックスリスト（PSL）」の検証ロジックにおけるバグに起因し、ドメインの検証を正しく行えない脆弱性「CVE-2025-27820」が明らかとなったもの。

Cookieやホスト名におけるドメイン検証を回避され、認証なしにアクセスされたり、情報漏洩が生じるおそれがある。「同5.4.x」に影響があり、以前のバージョンについては、影響はないとしている。

開発チームでは、同脆弱性の重要度を「中（Moderate）」とした。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」と評価されている。

開発チームでは、現地時間2025年3月27日「同5.4.3」にて同脆弱性を修正。利用者にアップデートを呼びかけている。

（Security NEXT - 2025/05/02 ）ツイート