Hutool证书验证漏洞 CVE-2022-22885

0x01 概述

Hutool 是一个Java工具库，提供了丰富的工具和方法，方便开发者在Java应用程序中进行各种常见任务的处理。它具有简单易用、功能丰富、性能优越等特点，被广泛用于Java开发中。

笔者通过对数百个真实项目引入组件的分析选出了该组件的常见漏洞进行分析。本次分析的是CVE-2022-22885，Hutool-http执行HttpRequest操作时的证书验证漏洞

0x02 组件使用场景

Hutool-http组件是基于HttpUrlConnection的Http客户端封装 。其中的HttpRequest类有发送Http请求的功能。

0x03 漏洞信息

3.1 漏洞简介

漏洞名称：证书验证漏洞

漏洞编号：CVE-2022-22885

漏洞类型：CWE-295 证书验证不正确

CVSS评分：CVSS v3.1：9.8

漏洞危害等级：超危

3.2 漏洞概述

该库的HttpRequest类默认的HostnameVerifier信任所有的hostname，并不对服务器证书进行校验。

3.3 漏洞利用条件

使