Several vulnerabilities were discovered in jetty, a Java servlet engine and webserver. An attacker may reveal cryptographic credentials such as passwords to a local user, disclose installation paths, hijack user sessions or tamper with collocated webapps.

CVE-2017-9735

Jetty is prone to a timing channel in util/security/Password.java, which makes it easier for remote attackers to obtain access by observing elapsed times before rejection of incorrect passwords.

CVE-2018-12536

On webapps deployed using default Error Handling, when an intentionally bad query arrives that doesn't match a dynamic url-pattern, and is eventually handled by the DefaultServlet's static file serving, the bad characters can trigger a java.nio.file.InvalidPathException which includes the full path to the base resource directory that the DefaultServlet and/or webapp is using. If this InvalidPathException is then handled by the default Error Handler, the InvalidPathException message is included in the error response, revealing the full server path to the requesting system.

CVE-2019-10241

The server is vulnerable to XSS conditions if a remote client USES a specially formatted URL against the DefaultServlet or ResourceHandler that is configured for showing a Listing of directory contents.

CVE-2019-10247

The server running on any OS and Jetty version combination will reveal the configured fully qualified directory base resource location on the output of the 404 error for not finding a Context that matches the requested path. The default server behavior on jetty-distribution and jetty-home will include at the end of the Handler tree a DefaultHandler, which is responsible for reporting this 404 error, it presents the various configured contexts as HTML for users to click through to. This produced HTML includes output that contains the configured fully qualified directory base resource location for each context.

CVE-2020-27216

On Unix like systems, the system's temporary directory is shared between all users on that system. A collocated user can observe the process of creating a temporary sub directory in the shared temporary directory and race to complete the creation of the temporary subdirectory. If the attacker wins the race then they will have read and write permission to the subdirectory used to unpack web applications, including their WEB-INF/lib jar files and JSP files. If any code is ever executed out of this temporary directory, this can lead to a local privilege escalation vulnerability.

This update also includes several other bug fixes and improvements.
For more information please refer to the upstream changelog file.

For Debian 9 stretch, these problems have been fixed in version 9.2.30-0+deb9u1.

We recommend that you upgrade your jetty9 packages.

For the detailed security status of jetty9 please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/jetty9

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Eclipse Jetty version 7.x, 8.x, 9.2.27 and older, 9.3.26 and older, and 9.4.16 and older, the server     running on any OS and Jetty version combination will reveal the configured fully qualified directory base     resource location on the output of the 404 error for not finding a Context that matches the requested     path. The default server behavior on jetty-distribution and jetty-home will include at the end of the     Handler tree a DefaultHandler, which is responsible for reporting this 404 error, it presents the various     configured contexts as HTML for users to click through to. This produced HTML includes output that     contains the configured fully qualified directory base resource location for each context.
    (CVE-2019-10247)

Note that Nessus relies on the presence of the package as reported by the vendor.

在 jetty (一個 Java servlet 引擎和 Webserver) 中發現數個弱點。攻擊者可能會向本機使用者洩漏密碼編譯認證 (如密碼)、洩漏安裝路徑、劫持使用者工作階段或竄改並置 Web 應用程式。

CVE-2017-9735

Jetty 容易受到 util/security/Password.java 中的計時通道弱點影響，遠端攻擊者可透過觀察拒絕錯誤密碼前的經過時間來輕易取得存取權。

CVE-2018-12536

在使用預設錯誤處理部署的 webapp 上，當發生與動態 url-pattern 不符且最終由 DefaultServlet 的靜態檔案服務處理的刻意錯誤查詢時，錯誤字元可觸發 java.nio.file.InvalidPathException，其中包含 DefaultServlet 和/或 webapp 所使用之基本資源目錄的完整路徑。如果此 InvalidPathException 之後由預設的錯誤處置程式處理，則錯誤回應中會包含 InvalidPathException 訊息，進而將完整的伺服器路徑顯示給提出要求的系統。

CVE-2019-10241

如果遠程用戶端針對設定為顯示目錄內容列表的 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，則服務器很容易受到 XSS 條件的影響。

CVE-2019-10247

在任何 OS 和 Jetty 版本組合上執行的伺服器都會在輸出中顯示已設定的完整目錄基礎資源位置未找到符合要求路徑的 404 錯誤。jetty-distribution 和 jetty-home 上的預設伺服器行為將在 Handler 樹狀結構結尾包含一個 DefaultHandler，其負責報告此 404 錯誤，它將各種設定的內容呈現為 HTML，供使用者按一下即可存取。此產生的 HTML 包含輸出，其中包含每個內容的已設定完整目錄基礎資源位置。

CVE-2020-27216

在類似 Unix 的系統上，系統的暫存目錄會在該系統上的所有使用者之間共用。並置使用者可觀察在共用暫存目錄中建立暫存子目錄的過程，並爭用以完成暫存子目錄的建立。如果攻擊者在爭用中獲勝，則他們將擁有用於解壓縮 Web 應用程式的子目錄 (包括其 WEB-INF/lib jar 檔案和 JSP 檔案) 的讀取和寫入權限。如果在此暫存目錄之外執行任何程式碼，可能會導致本機權限提升弱點。

此更新也包含其他數個錯誤修正和改良。
如需詳細資訊，請參閱上游變更記錄檔案。

針對 Debian 9 Stretch，已在 9.2.30-0+deb9u1 版本中修正這些問題。

建議您升級 jetty9 套件。

如需有關 jetty9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/jetty9

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Java servlet 引擎和 Web 服务器 jetty 中发现多个漏洞。攻击者可能会泄露加密凭据（例如本地用户的密码）、泄露安装路径、劫持用户会话或篡改并置 WebApp。

CVE-2017-9735

Jetty 容易受到 util/security/Password.java 中计时通道的影响，这使远程攻击者更容易通过观察拒绝错误密码前经过的时间来获得访问权限。

CVE-2018-12536

在使用默认错误处理部署的 webapp 的所有版本中，当与动态 url-pattern 故意不匹配的错误查询抵达并最终由 DefaultServlet 的静态文件服务处理时，错误字符可触发 java.nio.file.InvalidPathException，其中包括 DefaultServlet 和/或 webapp 正在使用的基本资源目录的完整路径。如果此 InvalidPathException 随后由默认的错误处理程序处理，则错误响应中会包含 InvalidPathException 消息，从而向发出请求的系统显示完整的服务器路径。

CVE-2019-10241

如果远程客户端针对 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，该 URL 配置为显示目录内容。

CVE-2019-10247

在任何 OS 和 Jetty 版本组合上运行的服务器将在输出中显示配置的完全限定目录库资源位置未找到符合请求的路径的 404 错误。jetty-distribution 和 jetty-home 上的默认服务器行为将在 Handler 树的末尾包括一个 DefaultHandler，它负责报告此 404 错误，它将各种配置的上下文显示为 HTML 供用户点击。此生成的 HTML 包括输出，其中包含为每个上下文配置的完全限定的目录库资源位置。

CVE-2020-27216

在类似 Unix 的系统上，系统的临时目录由该系统上的所有用户共享。并置用户可以观察在共享临时目录中创建临时子目录的过程并争用完成临时子目录的创建。如果攻击者在竞争中获胜，则他们将拥有用于解包 Web 应用程序的子目录的读取和写入权限，包括其 WEB-INF/lib jar 文件和 JSP 文件。如果曾在此临时目录外执行任何代码，则可能导致本地特权提升漏洞。

此更新还包括多个其他缺陷修复和改进。
请参阅上游变更日志文件以获取更多信息。

对于 Debian 9 Stretch，已在版本 9.2.30-0+deb9u1 中修复这些问题。

我们建议您升级 jetty9 程序包。

如需了解 jetty9 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/jetty9

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Java サーブレットエンジンである jetty、および Web サーバーで、いくつかの脆弱性が発見されました。攻撃者が、パスワードなどの暗号化された認証情報をローカルユーザーに漏洩させたり、インストールパスを漏洩させたり、ユーザーセッションをハイジャックしたり、同じ場所に配置された Web アプリケーションを改ざんしたりする可能性があります。

CVE-2017-9735

Jetty は、util/security/Password.java のタイミングチャネルの影響を受けやすくなっています。このため、リモートの攻撃者は、正しくないパスワードを拒否するまでの経過時間を監視することで、簡単にアクセス権を取得できます。

CVE-2018-12536

デフォルトのエラー処理を使用して展開された webapp では、動的な url-pattern と一致しない意図的に不良なクエリが来て、最終的に DefaultServlet の静的ファイルサービングによって処理される場合、不良文字によって、DefaultServlet や webapp が使用しているベースリソースディレクトリへのフルパスを含む java.nio.file.InvalidPathException が発生する可能性があります。この InvalidPathException がデフォルトのエラーハンドラーによって処理されると、InvalidPathException メッセージがエラー応答に含まれるため、リクエストしているシステムへの完全なサーバーパスが明らかになります。

CVE-2019-10241

ディレクトリコンテンツのリストの表示用に構成された DefaultServlet または ResourceHandler に対してリモートクライアントが特別にフォーマットされた URL を使用する場合、サーバーは XSS 状態に対して脆弱です。

CVE-2019-10247

任意の OS や Jetty バージョンの組み合わせで実行しているサーバーは、クエストされたパスと一致する Context が見つからない場合に、404 エラーの出力で構成済みの完全修飾ディレクトリベースのリソースの位置を明らかにします。jetty-distribution と jetty-hom eのデフォルトのサーバー動作には、ハンドラーツリーの末尾に DefaultHandler があります。これはこの404エラーを報告する役割を果たし、ユーザーがクリックスルーするためのさまざまな構成済みコンテキストを HTML として提示します。この生成された HTML には、各コンテキストに対する構成済みの完全修飾ディレクトリベースリソースの場所を含む出力が含まれています。

CVE-2020-27216

Unix のようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。併置されたユーザーは、共有一時ディレクトリで一時サブディレクトリを作成するプロセスを観察し、一時サブディレクトリの作成を完了するために競合する可能性があります。攻撃者が競合に勝った場合、攻撃者は、WEB-INF/lib jar ファイルや JSP ファイルを含む、Web アプリケーションの解凍に使用されるサブディレクトリに対する読み取りおよび書き込み権限を取得します。この一時ディレクトリ以外でコードが実行された場合、ローカルの権限昇格の脆弱性が発生する可能性があります。

この更新プログラムには、その他のいくつかのバグ修正と改善策も含まれています。
詳細については、upstream 変更ログファイルを参照してください 。

Debian 9 'Stretch' では、これらの問題はバージョン 9.2.30-0+deb9u1 で修正されています。

jetty9 パッケージをアップグレードすることを推奨します。

jetty9の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/jetty9

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Eclipse Jettyのバージョン 7.x、8.x、9.2.27以前、9.3.26以前、および9.4.16以前では、任意のOSやJettyバージョンの組み合わせで実行しているサーバーが、クエストされたパスと一致するContextが見つからない場合に、404エラーの出力で構成済みの完全修飾ディレクトリベースのリソースの位置を明らかにします。jetty-distributionとjetty-homeのデフォルトのサーバー動作には、ハンドラーツリーの末尾にDefaultHandlerがあります。これはこの404エラーを報告する役割を果たし、ユーザーがクリックスルーするためのさまざまな構成済みコンテキストをHTMLとして提示します。この生成されたHTMLには、各コンテキストに対する構成済みの完全修飾ディレクトリベースリソースの場所を含む出力が含まれています。
    (CVE-2019-10247)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-4949 advisory.

  - In Eclipse Jetty version 9.2.26 and older, 9.3.25 and older, and 9.4.15 and older, the server is     vulnerable to XSS conditions if a remote client USES a specially formatted URL against the DefaultServlet     or ResourceHandler that is configured for showing a Listing of directory contents. (CVE-2019-10241)

  - In Eclipse Jetty version 7.x, 8.x, 9.2.27 and older, 9.3.26 and older, and 9.4.16 and older, the server     running on any OS and Jetty version combination will reveal the configured fully qualified directory base     resource location on the output of the 404 error for not finding a Context that matches the requested     path. The default server behavior on jetty-distribution and jetty-home will include at the end of the     Handler tree a DefaultHandler, which is responsible for reporting this 404 error, it presents the various     configured contexts as HTML for users to click through to. This produced HTML includes output that     contains the configured fully qualified directory base resource location for each context.
    (CVE-2019-10247)

  - In Eclipse Jetty versions 1.0 thru 9.4.32.v20200930, 10.0.0.alpha1 thru 10.0.0.beta2, and 11.0.0.alpha1     thru 11.0.0.beta2O, on Unix like systems, the system's temporary directory is shared between all users on     that system. A collocated user can observe the process of creating a temporary sub directory in the shared     temporary directory and race to complete the creation of the temporary subdirectory. If the attacker wins     the race then they will have read and write permission to the subdirectory used to unpack web     applications, including their WEB-INF/lib jar files and JSP files. If any code is ever executed out of     this temporary directory, this can lead to a local privilege escalation vulnerability. (CVE-2020-27216)

  - In Eclipse Jetty 9.4.6.v20170531 to 9.4.36.v20210114 (inclusive), 10.0.0, and 11.0.0 when Jetty handles a     request containing multiple Accept headers with a large number of quality (i.e. q) parameters, the     server may enter a denial of service (DoS) state due to high CPU usage processing those quality values,     resulting in minutes of CPU time exhausted processing those quality values. (CVE-2020-27223)

  - The td-agent-builder plugin before 2020-12-18 for Fluentd allows attackers to gain privileges because the     bin directory is writable by a user account, but a file in bin is executed as NT AUTHORITY\SYSTEM.
    (CVE-2020-28169)

  - For Eclipse Jetty versions <= 9.4.40, <= 10.0.2, <= 11.0.2, if an exception is thrown from the     SessionListener#sessionDestroyed() method, then the session ID is not invalidated in the session ID     manager. On deployments with clustered sessions and multiple contexts this can result in a session not     being invalidated. This can result in an application used on a shared computer being left logged in.
    (CVE-2021-34428)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートのDebian 10ホストには、dsa-4949のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Eclipse Jettyのバージョン9.2.26以前、9.3.25以前、および9.4.15以前では、ディレクトリコンテンツのリストの表示用に構成されたDefaultServletまたはResourceHandlerに対して、リモートクライアントが特別にフォーマットされたURLを使用する場合、サーバーはXSS状態に対して脆弱です。 (CVE-2019-10241)

  - Eclipse Jettyのバージョン 7.x、8.x、9.2.27以前、9.3.26以前、および9.4.16以前では、任意のOSやJettyバージョンの組み合わせで実行しているサーバーが、クエストされたパスと一致するContextが見つからない場合に、404エラーの出力で構成済みの完全修飾ディレクトリベースのリソースの位置を明らかにします。jetty-distributionとjetty-homeのデフォルトのサーバー動作には、ハンドラーツリーの末尾にDefaultHandlerがあります。これはこの404エラーを報告する役割を果たし、ユーザーがクリックスルーするためのさまざまな構成済みコンテキストをHTMLとして提示します。この生成されたHTMLには、各コンテキストに対する構成済みの完全修飾ディレクトリベースリソースの場所を含む出力が含まれています。
    (CVE-2019-10247)

  - Eclipse Jettyのバージョン1.0から9.4.32.v20200930、10.0.0.alpha1から10.0.0.beta2、11.0.0.alpha1から11.0.0.beta2Oでは、Unixのようなシステムの場合、システムの全ユーザー間でシステムの一時ディレクトリが共有されます。併置されたユーザーは、共有一時ディレクトリで一時サブディレクトリを作成するプロセスを観察し、一時サブディレクトリの作成を完了するために競合する可能性があります。攻撃者が競合に勝った場合、攻撃者は、WEB-INF/lib jarファイルやJSPファイルを含む、Webアプリケーションの解凍に使用されるサブディレクトリに対する読み取りおよび書き込み権限を取得します。この一時ディレクトリ以外でコードが実行された場合、ローカルの権限昇格の脆弱性が発生する可能性があります。 (CVE-2020-27216)

  - Eclipse Jetty 9.4.6.v20170531から9.4.36.v20210114 (含む) 、10.0.0、および11.0.0では、Jettyが多数の品質 (つまり、q) パラメーターを持つ複数のAcceptヘッダーを含むリクエストを処理するとき、サーバーがこれらの品質値を処理する高いCPU使用率によるサービス拒否 (DoS) 状態になる可能性があります。これにより、これらの品質値の処理にCPU時間が消費されます。 (CVE-2020-27223)

  - Fluentd用の2020年12月18日より前のtd-agent-builderプラグインにより、binディレクトリはユーザーアカウントにより書き込み可能ですが、bin内のファイルはNT AUTHORITY\SYSTEMとして実行されるため、攻撃者が権限を取得する可能性があります。
    (CVE-2020-28169)

  - Eclipse Jettyバージョン <= 9.4.40、<= 10.0.2、<= 11.0.2の場合、SessionListener#sessionDestroyed()メソッドから例外がスローされると、セッションIDはセッションIDマネージャーで無効になりません。クラスター化されたセッションと複数のコンテキストを伴う展開では、これによりセッションが無効化されない可能性があります。これにより、共有コンピューターで使用されているアプリケーションがログインしたままになる可能性があります。
    (CVE-2021-34428)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Eclipse Jetty 7.x、 8.x、 9.2.27 和更舊版本、 9.3.26 和更舊版本以及 9.4.16 和更舊版本中，在任何 OS 和 Jetty 版本組合上執行的伺服器都會在輸出中顯示已設定的完整目錄基礎資源位置未找到符合要求路徑的 404 錯誤。jetty-distribution 和 jetty-home 上的預設伺服器行為將在 Handler 樹狀結構結尾包含一個 DefaultHandler，其負責報告此 404 錯誤，它將各種設定的內容呈現為 HTML，供使用者按一下即可存取。此產生的 HTML 包含輸出，其中包含每個內容的已設定完整目錄基礎資源位置。
    (CVE-2019-10247)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 10 主機上安裝的多個套件受 dsa-4949 公告中提及的多個弱點影響。

  - 在 Eclipse Jetty 9.2.26 和更舊版本、 9.3.25 和更舊版本以及 9.4.15 和更舊版本中，如果遠程用戶端針對設定為顯示目錄內容列表的 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，則服務器很容易受到 XSS 條件的影響。(CVE-2019-10241)

  - 在 Eclipse Jetty 7.x、 8.x、 9.2.27 和更舊版本、 9.3.26 和更舊版本以及 9.4.16 和更舊版本中，在任何 OS 和 Jetty 版本組合上執行的伺服器都會在輸出中顯示已設定的完整目錄基礎資源位置未找到符合要求路徑的 404 錯誤。jetty-distribution 和 jetty-home 上的預設伺服器行為將在 Handler 樹狀結構結尾包含一個 DefaultHandler，其負責報告此 404 錯誤，它將各種設定的內容呈現為 HTML，供使用者按一下即可存取。此產生的 HTML 包含輸出，其中包含每個內容的已設定完整目錄基礎資源位置。
    (CVE-2019-10247)

  - 在 Eclipse Jetty 1.0 版至 9.4.32.v20200930 版、10.0.0.alpha1 版至 10.0.0.beta2 版和 11.0.0.alpha1 版至 11.0.0.beta2O 版中，在類似 Unix 的系統上，临时目录可以在该系统上的所有用户之间共享。並置使用者可觀察在共用暫存目錄中建立暫存子目錄的過程，並爭用以完成暫存子目錄的建立。如果攻擊者在爭用中獲勝，則他們將擁有用於解壓縮 Web 應用程式的子目錄 (包括其 WEB-INF/lib jar 檔案和 JSP 檔案) 的讀取和寫入權限。如果在此暫存目錄之外執行任何程式碼，可能會導致本機權限提升弱點。(CVE-2020-27216)

  - 在 Eclipse Jetty 9.4.6.v20170531 版至 9.4.36.v20210114 版(含此版本)、 10.0.0 版和 11.0.0 版中，當 Jetty 使用大量品質 (即 q) 參數處理含有多個 Accept 標頭的要求時，伺服器可能會進入由於處理這些品質值的高 CPU 使用率所導致的拒絕服務 (DoS) 狀態，進而導致處理這些品質值的 CPU 時間耗盡。(CVE-2020-27223)

  - Fluentd 2020-12-18 版之前的 td-agent-builder 外掛程式允許攻擊者取得權限，因為 bin 目錄可由使用者帳戶寫入，但 bin 中的檔案是以 NT AUTHORITY\SYSTEM 執行。
    (CVE-2020-28169)

  - 對於 <= 9.4.40、 <= 10.0.2、 <= 11.0.2 的 Eclipse Jetty 版本，如果從 SessionListener#sessionDestroyed() 方法擲回例外狀況，則工作階段 ID 管理員中的工作階段 ID 不會失效。在具有叢集工作階段和多個內容的部署中，這可導致工作階段一直有效。這可能導致共用電腦上使用的應用程式保持登入狀態。
    (CVE-2021-34428)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Eclipse Jetty 版本 7.x、8.x、9.2.27 和更旧版本、 9.3.26 和更旧版本以及 9.4.16 及更旧版本中，在任何 OS 和 Jetty 版本组合上运行的服务器将在输出中显示配置的完全限定目录库资源位置未找到符合请求的路径的 404 错误。jetty-distribution 和 jetty-home 上的默认服务器行为将在 Handler 树的末尾包括一个 DefaultHandler，它负责报告此 404 错误，它将各种配置的上下文显示为 HTML 供用户点击。此生成的 HTML 包括输出，其中包含为每个上下文配置的完全限定的目录库资源位置。
    (CVE-2019-10247)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 10 主机上安装的多个程序包受到 dsa-4949 公告中提及的多个漏洞影响。

  - 在 Eclipse Jetty 版本 9.2.26 及更早版本、 9.3.25 及更早版本以及 9.4.15 及更早版本中，如果远程客户端针对 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，该 URL 配置为显示目录内容。(CVE-2019-10241)

  - 在 Eclipse Jetty 版本 7.x、8.x、9.2.27 和更旧版本、 9.3.26 和更旧版本以及 9.4.16 及更旧版本中，在任何 OS 和 Jetty 版本组合上运行的服务器将在输出中显示配置的完全限定目录库资源位置未找到符合请求的路径的 404 错误。jetty-distribution 和 jetty-home 上的默认服务器行为将在 Handler 树的末尾包括一个 DefaultHandler，它负责报告此 404 错误，它将各种配置的上下文显示为 HTML 供用户点击。此生成的 HTML 包括输出，其中包含为每个上下文配置的完全限定的目录库资源位置。
    (CVE-2019-10247)

  - 在 Eclipse Jetty 版本 1.0 至 9.4.32.v20200930、10.0.0.alpha1 至 10.0.0.beta2 和 11.0.0.alpha1 至 11.0.0.beta2O 的类似 Unix 的系统中，临时目录在该系统上的所有用户之间共享。并置用户可以观察在共享临时目录中创建临时子目录的过程并争用完成临时子目录的创建。如果攻击者在竞争中获胜，则他们将拥有用于解包 Web 应用程序的子目录的读取和写入权限，包括其 WEB-INF/lib jar 文件和 JSP 文件。如果曾在此临时目录外执行任何代码，则可能导致本地权限升级漏洞。 (CVE-2020-27216)

  - 在 Eclipse Jetty 9.4.6.v20170531 至 9.4.36.v20210114（含此版本）、 10.0.0 和 11.0.0 中，当 Jetty 处理包含多个具有大量质量（即 q）参数的请求时，服务器可能进入由于处理这些质量值的高 CPU 使用率而导致的拒绝服务 (DoS) 状态，导致处理这些质量值花费几分钟的 CPU 时间。(CVE-2020-27223)

  - Fluentd 2020-12-18 之前版本的 td-agent-builder 插件允许攻击者获取权限，因为用户帐户可写入 bin 目录，但 bin 中的文件作为 NT AUTHORITY\SYSTEM 执行。
    (CVE-2020-28169)

  - 对于 <= 9.4.40、<= 10.0.2、<= 11.0.2 的 Eclipse Jetty 版本，如果从 SessionListener#sessionDestroyed() 方法抛出异常，则会话 ID 管理器中的会话 ID 不会失效。在具有群集会话和多个上下文的部署中，这可能导致会话不会失效。这可能导致共享计算机上使用的应用程序保持登录状态。
    (CVE-2021-34428)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	Name	Product	Family	Published	Updated	Severity
149518	Debian DLA-2661-1 : jetty9 security update	Nessus	Debian Local Security Checks	5/17/2021	1/16/2024	high
221920	Linux Distros Unpatched Vulnerability : CVE-2019-10247	Nessus	Misc.	3/4/2025	3/6/2025	medium
149518	Debian DLA-2661-1：jetty9 安全性更新	Nessus	Debian Local Security Checks	5/17/2021	1/16/2024	high
149518	Debian DLA-2661-1：jetty9 安全更新	Nessus	Debian Local Security Checks	5/17/2021	1/16/2024	high
149518	Debian DLA-2661-1：jetty9 セキュリティ更新	Nessus	Debian Local Security Checks	5/17/2021	1/16/2024	high
221920	Linux Distros のパッチ未適用の脆弱性: CVE-2019-10247	Nessus	Misc.	3/4/2025	3/6/2025	medium
152224	Debian DSA-4949-1 : jetty9 - security update	Nessus	Debian Local Security Checks	8/5/2021	12/6/2023	critical
152224	Debian DSA-4949-1: jetty9 - セキュリティ更新	Nessus	Debian Local Security Checks	8/5/2021	12/6/2023	critical
221920	Linux Distros 未修補弱點：CVE-2019-10247	Nessus	Misc.	3/4/2025	3/6/2025	medium
152224	Debian DSA-4949-1：jetty9 - 安全性更新	Nessus	Debian Local Security Checks	8/5/2021	12/6/2023	critical
221920	Linux Distros 未修补的漏洞: CVE-2019-10247	Nessus	Misc.	3/4/2025	3/6/2025	medium
152224	Debian DSA-4949-1：jetty9 - 安全更新	Nessus	Debian Local Security Checks	8/5/2021	12/6/2023	critical

Detections

Analytics

Plugins Search

high

medium

high

high

high

medium

critical

critical

medium

critical

medium

critical