Apache HttpComponents Clientに存在する重大な脆弱性により、アプリケーションが非同期HttpClient実装を使用している場合、中間者(MITM)攻撃の際に攻撃者が信頼されたサーバーになりすませることが明らかになりました。
CVE-2026-71290として追跡されているこの問題は、Apache HttpComponents Clientのバージョン5.4から5.6.3において、TLSホスト名検証が不適切であることに起因します。
この脆弱性は、Apache HttpClientの非同期版を使用しつつHostnameVerificationPolicy#BUILTINを設定しているアプリケーションに影響します。
この設定は本来TLSハンドシェイク時のホスト名検証を強制するためのものですが、脆弱な非同期構成では実質的に機能していないと報告されています。
TLSホスト名検証は、クライアントが要求したホスト名がサーバーのTLS証明書に記載された識別情報と一致するかどうかを確認する、重要な制御機能です。
この検証が行われない場合、証明書自体は有効でも無関係なドメイン向けに発行されたものが、クライアントに受け入れられてしまう可能性があります。影響を受けるアプリケーションと本来の接続先との間の通信を傍受・改ざんできる攻撃者は、この挙動を悪用できます。
攻撃者は別のドメイン向けに発行された正規のTLS証明書を提示することで、脆弱な非同期クライアントに対して標的サーバーへのなりすましに成功する可能性があります。
これにより、HTTPS接続を通じて送信されるAPIリクエスト、認証トークン、セッションデータ、認証情報などの機密情報が漏えいするおそれがあります。また、攻撃者が通信中のレスポンスを改ざんできる可能性もあり、データの改変や悪意あるコンテンツの配信につながるリスクも生じます。
Apacheは、HttpClientの従来版(classic版)はCVE-2026-71290の影響を受けないと明言しています。この欠陥は、非同期TLSアップグレード戦略におけるSSLパラメータの適用方法に特有のものです。
影響を受けるソフトウェアの範囲は、Apache HttpComponents Client 5.4以前から5.6.4までとなっています。
非同期HTTP機能を利用している組織は、アプリケーションビルド内の直接的な依存関係だけでなく、間接的な依存関係も見直す必要があります。HttpClientは、JavaベースのサービスやAPIクライアント、ミドルウェア、分散アプリケーションのコンポーネントに組み込まれていることが多いためです。
この脆弱性はCWE-295「不適切な証明書検証」に分類されます。この種の脆弱性は、暗号化が有効になっており証明書チェーンが正当に見えている場合でも、TLSが本来担保すべきセキュリティ保証を損なう可能性があります。
Apacheは2026年8月10日にリリースしたHttpComponents Client 5.6.4でこの問題に対処しました。プロジェクトのリリースアナウンスによると、このメンテナンスアップデートでは非同期TLSアップグレード戦略におけるSSLパラメータの適用処理が修正されています。
影響を受けるユーザーは、できるだけ早くバージョン5.6.4以降へアップグレードすることが推奨されます。セキュリティチームは、インターネットに公開されているサービス、信頼できないネットワークをまたいで動作するアプリケーション、機密性の高いAPIデータやID情報をやり取りするシステムのパッチ適用を優先すべきです。
アップグレードが完了するまでの間、防御側は非同期版のApache HttpClientインスタンスを使用しているサービスを特定し、HostnameVerificationPolicy#BUILTINに依存しているかどうかを確認する必要があります。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査能力を強化する
翻訳元: https://cyberpress.org/critical-apache-httpcomponents-flaw/
