Java8环境下不升级至okhttp3修复okhttp2.7.5的CVE-2021-0341漏洞

一、不升级okhttp3修复CVE-2021-0341的方案 #

可以无需升级到okhttp3，通过以下两种方式修复：

1. 升级okhttp2到补丁版本 #

okhttp2分支的最终维护版本是2.7.6，该版本已修复CVE-2021-0341漏洞。直接将依赖从okhttp-2.7.5替换为okhttp-2.7.6即可，无需修改业务代码，兼容性最优。

2. 自定义HostnameVerifier替换默认实现 #

如果无法升级版本，可自行实现符合安全规范的HostnameVerifier，替换OkHttpClient默认的OkHostnameVerifier，严格校验证书与请求域名的匹配关系：

OkHttpClient client = new OkHttpClient.Builder()
    .hostnameVerifier((hostname, sslSession) -> {
        // 实现RFC 2818规定的域名校验逻辑，需覆盖通配符、IP地址等场景
        String peerHost = sslSession.getPeerHost();
        // 示例逻辑（建议使用成熟的校验实现，如Apache HttpClient的DefaultHostnameVerifier）
        return hostname.equalsIgnoreCase(peerHost) 
                || (hostname.startsWith("*.") && peerHost.endsWith(hostname.substring(1)));
    })
    .build();

注意：自定义实现需严格遵循证书域名校验规范，避免因逻辑疏漏引入新的安全风险。

二、解决okhttp3在Java8下的NullPointerException问题 #

该异常是由于okhttp3在Java8环境中，当自定义SSLSocketFactory但未正确关联X509TrustManager，导致acceptedIssuers字段为null引发的。可通过以下方式解决：

1. 正确配置SSLSocketFactory与TrustManager #

如果自定义了SSLSocketFactory，必须同时传入对应的X509TrustManager，且保证该TrustManager的acceptedIssuers方法不返回null。推荐使用系统默认的TrustManager：

// 初始化默认TrustManager
TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(
    TrustManagerFactory.getDefaultAlgorithm());
trustManagerFactory.init((KeyStore) null);
TrustManager[] trustManagers = trustManagerFactory.getTrustManagers();
X509TrustManager trustManager = (X509TrustManager) trustManagers[0];

// 初始化SSLContext
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, new TrustManager[]{trustManager}, new SecureRandom());
SSLSocketFactory sslSocketFactory = sslContext.getSocketFactory();

// 构建OkHttpClient时同时传入sslSocketFactory和trustManager
OkHttpClient client = new OkHttpClient.Builder()
    .sslSocketFactory(sslSocketFactory, trustManager)
    .build();

2. 使用Java8兼容的okhttp3版本 #

• 若选择okhttp3.x系列，推荐使用3.12.13，这是okhttp3分支中支持Java6/7/8的长期维护版本，修复了多个安全漏洞，且完全适配Java8。
• 若选择okhttp4.x系列，需使用4.9.3及以上版本，4.9.x是okhttp4分支中最后支持Java8的版本。

3. 检查Apache Camel的SSL配置 #

由于异常堆栈涉及Apache Camel，需确认Camel HTTP组件是否存在自定义SSL配置导致TrustManager缺失。建议在Camel路由中显式传入配置好的okhttp3客户端实例：

// 先创建配置完成的okhttp3客户端
OkHttpClient okHttpClient = new OkHttpClient.Builder()
    .sslSocketFactory(sslSocketFactory, trustManager)
    .build();

// 在Camel路由中引用该客户端
from("direct:yourRoute")
    .to("okhttp4://your-target-url?client=#okHttpClient");

内容的提问来源于stack exchange，提问作者Ricky V.