CVE-2026-5795
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W Eclipse Jetty klasa JASPIAuthenticator ustawia zmienne ThreadLocal podczas uwierzytelniania, ale nie czyści ich przy wczesnym powrocie. Kolejne żądanie na tym samym wątku dziedziczy te wartości, co prowadzi do złamania kontroli dostępu i eskalacji uprawnień.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do zasobów aplikacji, potencjalnie eskalując swoje uprawnienia.
Rekomendacja
Zaktualizuj Eclipse Jetty do wersji, w której poprawiono czyszczenie zmiennych ThreadLocal w klasie JASPIAuthenticator.
Inne podatności w Eclipse Jetty
Zobacz wszystkie- CVE-2015-2080Wysokie
Kod obsługi wyjątków w Eclipse Jetty przed wersją 9.2.9.v20150224 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci procesu poprzez nielegalne znaki w nagłówku HTTP, znane jako JetLeak.
- CVE-2026-10050Krytyczne
W Eclipse Jetty komponent uwierzytelniania Digest po stronie serwera używa ISO-8859-1 do kodowania hasła jako bajtów, co powoduje, że znaki spoza tego zestawu (np. chińskie, cyrylica, greckie) są zastępowane znakiem '?'.
- CVE-2026-8384Średnie
W Eclipse Jetty stwierdzono podatność polegającą na nieprawidłowym rozwiązywaniu ścieżek URI zawierających średniki. Żądanie do zasobu takiego jak '/public;/../admin/secret.txt' powoduje, że Jetty zwraca nierozwiązaną ścieżkę '/public/../admin/secret.txt' zamiast oczekiwanej '/admin/secret.txt'. Sam Jetty nie jest podatny na atak, ponieważ nie serwuje plików, które nie przejdą kontroli aliasów, ale aplikacje internetowe polegające na rozwiązywaniu ścieżek przez Jetty mogą być zdezorientowane.
- CVE-2026-6790Średnie
W Eclipse Jetty dla żądań HTTP/1, HTTP/2 i HTTP/3 nie ma ścisłego sprawdzenia, czy autorytet żądania (host i port) jest zgodny z wartością nagłówka Host (jeśli jest obecny). Ta niezgodność może prowadzić do problemów takich jak błędne konstruowanie URI, wybór wirtualnego hosta, działanie reverse proxy, mylące logi i inne.
- CVE-2026-10051Wysokie
W Eclipse Jetty pierwsze żądanie HTTP/1.1 z nagłówkami końcowymi (trailers) powoduje, że serwer przechowuje te nagłówki dla kolejnych żądań na tym samym połączeniu. Kolejne żądania bez nagłówków końcowych raportują nagłówki z pierwszego żądania, a żądania z własnymi nagłówkami końcowymi raportują sumę nagłówków z pierwszego i bieżącego żądania.
- CVE-2026-2332Wysokie
Eclipse Jetty ma podatność na przemycanie żądań HTTP/1.1 (request smuggling) związaną z obsługą rozszerzeń chunk, gdzie parser kończy parsowanie rozszerzeń przy znaku \r\n wewnątrz cudzysłowów zamiast traktować to jako błąd.
- CVE-2026-1605Wysokie
W Eclipse Jetty w wersjach 12.0.0-12.0.31 i 12.1.0-12.0.5, klasa GzipHandler zawiera podatność na wyciek pamięci. Gdy przetwarzane jest skompresowane żądanie HTTP z nagłówkiem Content-Encoding: gzip, a odpowiedź nie jest kompresowana, mechanizm zwalniania obiektu Inflater JDK nie zostaje uruchomiony, co prowadzi do wycieku zasobów.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Jetty, the class JASPIAuthenticator initiates the authentication checks, which set two ThreadLocal variable. Upon returning from the initial checks, there are conditions that cause an early return from the JASPIAuthenticator code without clearing those ThreadLocals. A subsequent request using the same thread inherits the ThreadLocal values, leading to a broken access control and privilege escalation.