CVE-2025-5115

Eclipse Jetty'nin <=9.4.57, <=10.0.25, <=11.0.25, <=12.0.21, <=12.1.0.alpha2 sürümlerinde, bir HTTP/2 istemcisi; örneğin hatalı biçimlendirilmiş veya belirli bir akış durumunda gönderilmemesi gereken çerçeveler göndererek sunucunun RST_STREAM çerçeveleri göndermesini tetikleyebilir ve böylece sunucuyu CPU ve bellek gibi kaynakları tüketmeye zorlayabilir. Örneğin, bir istemci bir akış açabilir ve ardından pencere boyutu artışı 0 olan, yani geçersiz olan WINDOW_UPDATE çerçeveleri gönderebilir. https://www.rfc-editor.org/rfc/rfc9113.html#name-window_update spesifikasyonuna göre, sunucu bir RST_STREAM çerçevesi göndermelidir. İstemci şimdi başka bir akış açıp başka bir hatalı WINDOW_UPDATE gönderebilir; bu durum eşzamanlı maksimum akış sayısını aşmadığı halde istemcinin kısa sürede çok büyük miktarda akış oluşturabilmesine izin verdiği için sunucunun gerekenden daha fazla kaynak tüketmesine neden olur. Saldırı, sunucunun bir RST_STREAM çerçevesi göndermesine neden olan diğer koşullar (örneğin, kapatılmış bir akış için DATA çerçevesi) ile de gerçekleştirilebilir. Bağlantılar: * https://github.com/jetty/jetty.project/security/advisories/GHSA-mmxm-8w33-wc4h