CVE-2026-2332
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 68 - wyżej niż 68% wszystkich znanych CVE
Streszczenie
Eclipse Jetty ma podatność na przemycanie żądań HTTP/1.1 (request smuggling) związaną z obsługą rozszerzeń chunk, gdzie parser kończy parsowanie rozszerzeń przy znaku \r\n wewnątrz cudzysłowów zamiast traktować to jako błąd.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przemycenia żądań, co może prowadzić do obejścia zabezpieczeń, zatrucia pamięci podręcznej lub przejęcia sesji użytkowników.
Rekomendacja
Zaktualizuj Eclipse Jetty do najnowszej wersji zawierającej poprawki dla tej podatności.
Inne podatności w Eclipse Jetty
Zobacz wszystkie- CVE-2015-2080Wysokie
Kod obsługi wyjątków w Eclipse Jetty przed wersją 9.2.9.v20150224 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci procesu poprzez nielegalne znaki w nagłówku HTTP, znane jako JetLeak.
- CVE-2026-10050Krytyczne
W Eclipse Jetty komponent uwierzytelniania Digest po stronie serwera używa ISO-8859-1 do kodowania hasła jako bajtów, co powoduje, że znaki spoza tego zestawu (np. chińskie, cyrylica, greckie) są zastępowane znakiem '?'.
- CVE-2026-8384Średnie
W Eclipse Jetty stwierdzono podatność polegającą na nieprawidłowym rozwiązywaniu ścieżek URI zawierających średniki. Żądanie do zasobu takiego jak '/public;/../admin/secret.txt' powoduje, że Jetty zwraca nierozwiązaną ścieżkę '/public/../admin/secret.txt' zamiast oczekiwanej '/admin/secret.txt'. Sam Jetty nie jest podatny na atak, ponieważ nie serwuje plików, które nie przejdą kontroli aliasów, ale aplikacje internetowe polegające na rozwiązywaniu ścieżek przez Jetty mogą być zdezorientowane.
- CVE-2026-6790Średnie
W Eclipse Jetty dla żądań HTTP/1, HTTP/2 i HTTP/3 nie ma ścisłego sprawdzenia, czy autorytet żądania (host i port) jest zgodny z wartością nagłówka Host (jeśli jest obecny). Ta niezgodność może prowadzić do problemów takich jak błędne konstruowanie URI, wybór wirtualnego hosta, działanie reverse proxy, mylące logi i inne.
- CVE-2026-10051Wysokie
W Eclipse Jetty pierwsze żądanie HTTP/1.1 z nagłówkami końcowymi (trailers) powoduje, że serwer przechowuje te nagłówki dla kolejnych żądań na tym samym połączeniu. Kolejne żądania bez nagłówków końcowych raportują nagłówki z pierwszego żądania, a żądania z własnymi nagłówkami końcowymi raportują sumę nagłówków z pierwszego i bieżącego żądania.
- CVE-2026-5795Wysokie
W Eclipse Jetty klasa JASPIAuthenticator ustawia zmienne ThreadLocal podczas uwierzytelniania, ale nie czyści ich przy wczesnym powrocie. Kolejne żądanie na tym samym wątku dziedziczy te wartości, co prowadzi do złamania kontroli dostępu i eskalacji uprawnień.
- CVE-2026-1605Wysokie
W Eclipse Jetty w wersjach 12.0.0-12.0.31 i 12.1.0-12.0.5, klasa GzipHandler zawiera podatność na wyciek pamięci. Gdy przetwarzane jest skompresowane żądanie HTTP z nagłówkiem Content-Encoding: gzip, a odpowiedź nie jest kompresowana, mechanizm zwalniania obiektu Inflater JDK nie zostaje uruchomiony, co prowadzi do wycieku zasobów.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to the "funky chunks" techniques outlined here: * https://w4ke.info/2025/06/18/funky-chunks.html * https://w4ke.info/2025/10/29/funky-chunks-2.html Jetty terminates chunk extension parsing at \r\n inside quoted strings instead of treating this as an error. POST / HTTP/1.1 Host: localhost Transfer-Encoding: chunked 1;ext="val X 0 GET /smuggled HTTP/1.1 ... Note how the chunk extension does not close the double quotes, and it is able to inject a smuggled request.