CVE-2026-64607

Data: 2026-08-15

Severity: Medium

CVSS Score: 5.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)

Nota

La severity e il CVSS Score si riferiscono alla vulnerabilità della libreria. Come descritto nella sezione GovWay, la vulnerabilità non si manifesta nel prodotto, poiché la decompressione automatica del Content-Encoding operata da Apache HttpClient è disabilitata sui connettori del gateway.

Riferimenti:

Libreria: org.apache.httpcomponents.client5:httpclient5 (versioni affette: 5.0-alpha1 - 5.6.2)

Descrizione

[CVE-2026-64607] CWE-772: Missing Release of Resource after Effective Lifetime

Apache HttpComponents Client: Connection Leak on Content-Encoding Decode Error Leads to Pool Exhaustion DoS

HttpClient based on the classic i/o model fails to correctly release the underlying connection back to the connection manager if it encounters an invalid or unsupported Content-Encoding header value in the response message. Please note this defect does not affect HttpClient based on the async i/o model.

This issue affects Apache HttpComponents Client: from 5.0-alpha1 through 5.6.2.

Users are recommended to upgrade to version 5.6.3, which fixes the issue.

GovWay

GovWay utilizza la libreria nei connettori HTTP/HTTPS del gateway, basati sull’i/o classico ed appoggiati ad un pool di connessioni condiviso, ma la vulnerabilità non si manifesta nel prodotto: il client viene costruito invocando disableContentCompression() e l’interceptor vulnerabile ContentCompressionExec non entra nella catena di esecuzione in alcuna configurazione. Anche abilitando la decompressione automatica tramite le property contentEncoding.decompress, questa è infatti realizzata da GovWay con logica propria, esternamente alla libreria.

La libreria viene comunque aggiornata alla prima versione in rilascio.

Versione affette:

  • 3.3.x: non affetta (utilizza la libreria org.apache.httpcomponents:httpclient 4.x)

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4