CVE-2023-40167
Açıklama
Jetty, Java tabanlı bir web sunucusu ve servlet motorudur. 9.4.52, 10.0.16, 11.0.16 ve 12.0.1 versiyonlarından önce Jetty, bir HTTP/1 başlık alanındaki content-length değerinden önce gelen `+` karakterini kabul etmektedir. Bu durum, RFC tarafından izin verilenden daha geniş kapsamlıdır ve diğer sunucular rutin olarak bu tür istekleri 400 yanıtlarıyla reddetmektedir. Bilinen bir istismar senaryosu yoktur ancak Jetty'nin, böyle bir 400 yanıtı gönderdikten sonra bağlantıyı kapatmayan bir sunucu ile birlikte kullanılması durumunda request smuggling oluşabileceği öngörülebilir. 9.4.52, 10.0.16, 11.0.16 ve 12.0.1 versiyonları bu sorun için bir yama içermektedir. Bilinen bir istismar senaryosu olmadığı için herhangi bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- eclipse jetty9.4.52, 10.0.16, 11.0.16 ya da sonraki bir sürüm
- org.eclipse.jetty:jetty-http9.4.52, 10.0.16, 11.0.16, 12.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse jetty | 9.0.0 ≤ v < 9.4.52, 10.0.0 ≤ v < 10.0.16, 11.0.0 ≤ v < 11.0.16, 12.0.0 | 9.4.52, 10.0.16, 11.0.16 |
| debian debian_linux | 10.0, 11.0, 12.0 | — |
| org.eclipse.jetty:jetty-httpMaven | 9.0.0 ≤ v < 9.4.52, 10.0.0 ≤ v < 10.0.16, 11.0.0 ≤ v < 11.0.16, 12.0.0 ≤ v < 12.0.1 | 9.4.52, 10.0.16, 11.0.16, 12.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.