CVE-2026-10051
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Eclipse Jetty pierwsze żądanie HTTP/1.1 z nagłówkami końcowymi (trailers) powoduje, że serwer przechowuje te nagłówki dla kolejnych żądań na tym samym połączeniu. Kolejne żądania bez nagłówków końcowych raportują nagłówki z pierwszego żądania, a żądania z własnymi nagłówkami końcowymi raportują sumę nagłówków z pierwszego i bieżącego żądania.
Ocena ryzyka
Ryzyko polega na potencjalnym wycieku danych między żądaniami, co może prowadzić do nieautoryzowanego dostępu do informacji lub manipulacji treścią odpowiedzi, szczególnie w środowiskach wielodostępnych.
Rekomendacja
Zaleca się natychmiastową aktualizację Eclipse Jetty do wersji zawierającej poprawkę usuwającą to zachowanie. Do czasu aktualizacji należy rozważyć wyłączenie obsługi nagłówków końcowych (trailers) w konfiguracji serwera.
Inne podatności w Eclipse Jetty
Zobacz wszystkie- CVE-2015-2080Wysokie
Kod obsługi wyjątków w Eclipse Jetty przed wersją 9.2.9.v20150224 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci procesu poprzez nielegalne znaki w nagłówku HTTP, znane jako JetLeak.
- CVE-2026-10050Krytyczne
W Eclipse Jetty komponent uwierzytelniania Digest po stronie serwera używa ISO-8859-1 do kodowania hasła jako bajtów, co powoduje, że znaki spoza tego zestawu (np. chińskie, cyrylica, greckie) są zastępowane znakiem '?'.
- CVE-2026-8384Średnie
W Eclipse Jetty stwierdzono podatność polegającą na nieprawidłowym rozwiązywaniu ścieżek URI zawierających średniki. Żądanie do zasobu takiego jak '/public;/../admin/secret.txt' powoduje, że Jetty zwraca nierozwiązaną ścieżkę '/public/../admin/secret.txt' zamiast oczekiwanej '/admin/secret.txt'. Sam Jetty nie jest podatny na atak, ponieważ nie serwuje plików, które nie przejdą kontroli aliasów, ale aplikacje internetowe polegające na rozwiązywaniu ścieżek przez Jetty mogą być zdezorientowane.
- CVE-2026-6790Średnie
W Eclipse Jetty dla żądań HTTP/1, HTTP/2 i HTTP/3 nie ma ścisłego sprawdzenia, czy autorytet żądania (host i port) jest zgodny z wartością nagłówka Host (jeśli jest obecny). Ta niezgodność może prowadzić do problemów takich jak błędne konstruowanie URI, wybór wirtualnego hosta, działanie reverse proxy, mylące logi i inne.
- CVE-2026-2332Wysokie
Eclipse Jetty ma podatność na przemycanie żądań HTTP/1.1 (request smuggling) związaną z obsługą rozszerzeń chunk, gdzie parser kończy parsowanie rozszerzeń przy znaku \r\n wewnątrz cudzysłowów zamiast traktować to jako błąd.
- CVE-2026-5795Wysokie
W Eclipse Jetty klasa JASPIAuthenticator ustawia zmienne ThreadLocal podczas uwierzytelniania, ale nie czyści ich przy wczesnym powrocie. Kolejne żądanie na tym samym wątku dziedziczy te wartości, co prowadzi do złamania kontroli dostępu i eskalacji uprawnień.
- CVE-2026-1605Wysokie
W Eclipse Jetty w wersjach 12.0.0-12.0.31 i 12.1.0-12.0.5, klasa GzipHandler zawiera podatność na wyciek pamięci. Gdy przetwarzane jest skompresowane żądanie HTTP z nagłówkiem Content-Encoding: gzip, a odpowiedź nie jest kompresowana, mechanizm zwalniania obiektu Inflater JDK nie zostaje uruchomiony, co prowadzi do wycieku zasobów.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Jetty, a first HTTP/1.1 request with trailers causes the server to retain the trailers in subsequent requests performed over the same connection. Subsequent request that do not have trailers report the trailers of the first request. Subsequent request that do have trailers report the union of trailers of the first request and the current request.