CVE-2026-1605
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W Eclipse Jetty w wersjach 12.0.0-12.0.31 i 12.1.0-12.0.5, klasa GzipHandler zawiera podatność na wyciek pamięci. Gdy przetwarzane jest skompresowane żądanie HTTP z nagłówkiem Content-Encoding: gzip, a odpowiedź nie jest kompresowana, mechanizm zwalniania obiektu Inflater JDK nie zostaje uruchomiony, co prowadzi do wycieku zasobów.
Ocena ryzyka
Wyciek pamięci może prowadzić do stopniowego wyczerpania dostępnej pamięci, co skutkuje spowolnieniem działania serwera, a w skrajnych przypadkach do jego awarii i przerwania usług.
Rekomendacja
Zaleca się natychmiastową aktualizację Eclipse Jetty do wersji 12.0.32 lub nowszej (dla gałęzi 12.0.x) oraz do wersji 12.1.6 lub nowszej (dla gałęzi 12.1.x), które zawierają poprawkę usuwającą tę podatność.
Inne podatności w Eclipse Jetty
Zobacz wszystkie- CVE-2015-2080Wysokie
Kod obsługi wyjątków w Eclipse Jetty przed wersją 9.2.9.v20150224 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci procesu poprzez nielegalne znaki w nagłówku HTTP, znane jako JetLeak.
- CVE-2026-10050Krytyczne
W Eclipse Jetty komponent uwierzytelniania Digest po stronie serwera używa ISO-8859-1 do kodowania hasła jako bajtów, co powoduje, że znaki spoza tego zestawu (np. chińskie, cyrylica, greckie) są zastępowane znakiem '?'.
- CVE-2026-8384Średnie
W Eclipse Jetty stwierdzono podatność polegającą na nieprawidłowym rozwiązywaniu ścieżek URI zawierających średniki. Żądanie do zasobu takiego jak '/public;/../admin/secret.txt' powoduje, że Jetty zwraca nierozwiązaną ścieżkę '/public/../admin/secret.txt' zamiast oczekiwanej '/admin/secret.txt'. Sam Jetty nie jest podatny na atak, ponieważ nie serwuje plików, które nie przejdą kontroli aliasów, ale aplikacje internetowe polegające na rozwiązywaniu ścieżek przez Jetty mogą być zdezorientowane.
- CVE-2026-6790Średnie
W Eclipse Jetty dla żądań HTTP/1, HTTP/2 i HTTP/3 nie ma ścisłego sprawdzenia, czy autorytet żądania (host i port) jest zgodny z wartością nagłówka Host (jeśli jest obecny). Ta niezgodność może prowadzić do problemów takich jak błędne konstruowanie URI, wybór wirtualnego hosta, działanie reverse proxy, mylące logi i inne.
- CVE-2026-10051Wysokie
W Eclipse Jetty pierwsze żądanie HTTP/1.1 z nagłówkami końcowymi (trailers) powoduje, że serwer przechowuje te nagłówki dla kolejnych żądań na tym samym połączeniu. Kolejne żądania bez nagłówków końcowych raportują nagłówki z pierwszego żądania, a żądania z własnymi nagłówkami końcowymi raportują sumę nagłówków z pierwszego i bieżącego żądania.
- CVE-2026-2332Wysokie
Eclipse Jetty ma podatność na przemycanie żądań HTTP/1.1 (request smuggling) związaną z obsługą rozszerzeń chunk, gdzie parser kończy parsowanie rozszerzeń przy znaku \r\n wewnątrz cudzysłowów zamiast traktować to jako błąd.
- CVE-2026-5795Wysokie
W Eclipse Jetty klasa JASPIAuthenticator ustawia zmienne ThreadLocal podczas uwierzytelniania, ale nie czyści ich przy wczesnym powrocie. Kolejne żądanie na tym samym wątku dziedziczy te wartości, co prowadzi do złamania kontroli dostępu i eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Jetty, versions 12.0.0-12.0.31 and 12.1.0-12.0.5, class GzipHandler exposes a vulnerability when a compressed HTTP request, with Content-Encoding: gzip, is processed and the corresponding response is not compressed. This happens because the JDK Inflater is allocated for decompressing the request, but it is not released because the release mechanism is tied to the compressed response. In this case, since the response is not compressed, the release mechanism does not trigger, causing the leak.