CVE-2017-7657
Açıklama
Eclipse Jetty'nin 9.2.x ve daha eski sürümlerinde, 9.3.x (tüm yapılandırmalar) ve 9.4.x (RFC2616 uyumluluğu etkinleştirilmiş varsayılan olmayan yapılandırma) sürümlerinde, transfer-encoding parçaları (chunks) hatalı işlenmektedir. Parça uzunluğu ayrıştırması bir tamsayı taşmasına (integer overflow) karşı savunmasızdır. Bu nedenle, büyük bir parça boyutu daha küçük bir parça boyutu olarak yorumlanabilir ve parça gövdesi olarak gönderilen içerik, ardışık bir istek (pipelined request) olarak algılanabilir. Eğer Jetty, bazı yetkilendirmeler uygulayan bir ara katman arkasında konuşlandırılmışsa ve bu ara katman rastgele büyüklükteki parçaların değiştirilmeden iletilmesine izin veriyorsa; sahte ardışık istek ara katman tarafından bir istek olarak yorumlanmayacağı için bu açık, ara katmanın uyguladığı yetkilendirmenin atlatılması amacıyla kullanılabilir.
Nasıl düzeltilir
- eclipse jetty9.3.24, 9.4.11 ya da sonraki bir sürüm
- netapp oncommand_unified_manager5.2.4 ya da sonraki bir sürüm
- netapp snap_creator_framework4.3.3 ya da sonraki bir sürüm
- netapp snapcenter4.1p3 ya da sonraki bir sürüm
- netapp snapmanager3.4.2 ya da sonraki bir sürüm
- hp xp_p9000_command_view8.6.2-00 ya da sonraki bir sürüm
- org.eclipse.jetty:jetty-server9.2.25.v20180606, 9.3.24.v20180605 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse jetty | v ≤ 9.2.26, 9.3.0 ≤ v < 9.3.24, 9.4.0 ≤ v < 9.4.11 | 9.3.24, 9.4.11 |
| debian debian_linux | 9.0 | — |
| netapp e-series_santricity_management | Aralık belirtilmemiş | — |
| netapp e-series_santricity_os_controller | 11.0 ≤ v ≤ 11.50.1 | — |
| netapp e-series_santricity_web_services | Aralık belirtilmemiş | — |
| netapp element_software | Aralık belirtilmemiş | — |
| netapp element_software_management_node | Aralık belirtilmemiş | — |
| netapp hci_storage_nodes | Aralık belirtilmemiş | — |
| netapp oncommand_system_manager | 3.x | — |
| netapp oncommand_unified_manager | v < 5.2.4 | 5.2.4 |
| netapp santricity_cloud_connector | Aralık belirtilmemiş | — |
| netapp snap_creator_framework | v < 4.3.3 | 4.3.3 |
| netapp snapcenter | v < 4.1p3 | 4.1p3 |
| netapp snapmanager | v < 3.4.2 | 3.4.2 |
| hp xp_p9000_command_view | 8.4.0-00 ≤ v < 8.6.2-00 | 8.6.2-00 |
| oracle rest_data_services | 11.2.0.4, 12.1.0.2, 12.2.0.1, 18c | — |
| oracle retail_xstore_point_of_service | 7.1, 15.0, 16.0, 17.0 | — |
| org.eclipse.jetty:jetty-serverMaven | v < 9.2.25.v20180606, 9.3.0 ≤ v < 9.3.24.v20180605 | 9.2.25.v20180606, 9.3.24.v20180605 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.