There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and
    asynchronously process HTTP responses. From 2.0.0 until 2.16.1 and 3.0.12, a request using an HTTP proxy
    to reach an HTTPS origin can expose preemptive origin credentials because NettyRequestFactory and
    NettyRequestSender.sendRequestWithNewChannel attach Authorization to the plaintext CONNECT request before
    the TLS tunnel exists. Basic or Digest credentials and per-connection NTLM, Kerberos, or SPNEGO tokens
    intended for the origin are therefore visible to the proxy and to observers on the client-to-proxy hop.
    The tunneled request still receives origin Authorization after the tunnel is established, while Proxy-
    Authorization remains on CONNECT for its intended proxy recipient. This issue is fixed in versions 2.16.1
    and 3.0.12. (CVE-2026-85720)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - AsyncHttpClient （AHC） 程式庫可讓 Java 應用程式輕鬆執行 HTTP 要求，並以非同步方式處理 HTTP 回應。從 2.0.0 until 2.16.1 和 3.0.12，使用 HTTP Proxy 到達 HTTPS 來源的請求可能會暴露搶佔式來源認證，因為在 TLS 通道存在之前，NettyRequestFactory 和 NettyRequestSender.sendRequestWithNewChannel 會將授權附加至純文字 CONNECT 要求。因此，用於來源的基本或摘要認證以及每個連線的 NTLM、Kerberos 或 SPNEGO 權杖對 Proxy 和用戶端對 Proxy 躍點上的觀察者可見。
    通道建立後，通道請求仍會收到來源授權，而 Proxy-Authorization 仍會針對其預期的 Proxy 收件者保留在 CONNECT 上。此問題已在 2.16.1 和 3.0.12 版中修正。(CVE-2026-85720)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - AsyncHttpClient （AHC） 库允许 Java 应用程序轻松执行 HTTP 请求和异步处理 HTTP 响应。从 2.0.0 until 2.16.1 和 3.0.12，使用 HTTP 代理到达 HTTPS 源的请求可能会暴露抢占式源凭据，因为 NettyRequestFactory 和 NettyRequestSender.sendRequestWithNewChannel 在 TLS 隧道存在之前将授权附加到明文 CONNECT 请求。因此，用于源的基本或摘要凭据以及每连接的 NTLM、Kerberos 或 SPNEGO 标记对代理和客户端到代理跃点上的观察者可见。
    隧道建立后，隧道请求仍会接收源授权，而其预期代理接收方的 Proxy-Authorization 仍会保留在 CONNECT 上。此问题已在 2.16.1 和 3.0.12 版本中得到修补。(CVE-2026-85720)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - AsyncHttpClient(AHC)ライブラリを使用すると、Java アプリケーションは簡単に HTTP リクエストを実行し、HTTP 応答を非同期に処理できます。2.0.0から2.16.13.0.12まで、HTTPプロキシを使用してHTTPSオリジンに到達するリクエストは、TLSトンネルが存在する前にNettyRequestFactoryおよびNettyRequestSender.sendRequestWithNewChannelが認証を平文のCONNECTリクエストにアタッチするため、プリエンプティブオリジン資格情報が公開される可能性があります。したがって、生成元を意図した基本認証情報またはダイジェスト認証情報と接続ごとの NTLM、Kerberos、または SPNEGO トークンは、プロキシおよびクライアントからプロキシへのホップのオブザーバーに対して可視化されます。
    トンネル化されたリクエストは、トンネルの確立後も元の承認を受け取りますが、Proxy-Authorization は、意図されたプロキシ受信者に対して CONNECT に残ります。この問題はバージョン 2.16.1および 3.0.12で修正されています。(CVE-2026-85720)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The AsyncHttpClient (AHC) library allows Java applications to easily execute HTTP requests and     asynchronously process HTTP responses. From 2.0.0 until 2.16.1 and 3.0.12, a request using an HTTP proxy     to reach an HTTPS origin can expose preemptive origin credentials because NettyRequestFactory and     NettyRequestSender.sendRequestWithNewChannel attach Authorization to the plaintext CONNECT request before     the TLS tunnel exists. Basic or Digest credentials and per-connection NTLM, Kerberos, or SPNEGO tokens     intended for the origin are therefore visible to the proxy and to observers on the client-to-proxy hop.
    The tunneled request still receives origin Authorization after the tunnel is established, while Proxy-     Authorization remains on CONNECT for its intended proxy recipient. This issue is fixed in versions 2.16.1     and 3.0.12. (CVE-2026-85720)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
455341	Echo: async-http-client, org.asynchttpclient:async-http-client: security update to 2.16.1	Tenable Cloud Security	Echo Local Security Checks	2026/10/1	2026/10/5	medium
455341	Echo: async-http-client, org.asynchttpclient:async-http-client: security update to 2.16.1	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/1	2026/10/5	medium
348301	Linux Distros 未修補弱點：CVE-2026-85720	Nessus	Misc.	2026/9/19	2026/11/5	medium
348301	Linux Distros 未修补的漏洞：CVE-2026-85720	Nessus	Misc.	2026/9/19	2026/11/5	medium
348301	Linux Distros のパッチ未適用の脆弱性: CVE-2026-85720	Nessus	Misc.	2026/9/19	2026/11/5	medium
348301	Linux Distros Unpatched Vulnerability : CVE-2026-85720	Nessus	Misc.	2026/9/19	2026/11/5	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium