Zaloguj się
Deutsch English Español Polski
Średnia

Jetty Uses Predictable Session Identifiers

  • Ujawniono: 01.05.2022
  • Aktualizacja: 11.10.2026 11:21

Jetty before 4.2.27, 5.1 before 5.1.12, 6.0 before 6.0.2, and 6.1 before 6.1.0pre3 generates predictable session identifiers using java.util.random, which makes it easier for remote attackers to guess a session identifier through brute force attacks, bypass authentication requirements, and possibly conduct cross-site request forgery attacks.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.eclipse.jetty:jetty-server < 4.2.27, >= 5.1.0, < 5.1.12, >= 6.0.0, < 6.0.2, >= 6.1.0pre1, < 6.1.0pre3 4.2.27, 5.1.12, 6.0.2, 6.1.0pre3

Odnośniki

Ocena CVSS -
Słabość (CWE)
CWE-330
Platforma
Java / Kotlin (Maven)
Paczka
org.eclipse.jetty:jetty-server
Ujawniono
01.05.2022
Aktualizacja
11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jg2x-r643-w2ch - CC BY 4.0

Historia podatności: org.eclipse.jetty:jetty-server

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (29) w archiwum
Wszystkich wpisów
29
Pierwsza → ostatnia
10.2018 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 4
  • Wysoka 10
  • Średnia 13
  • Niska 2

Ujawnienia w latach

Istotność:
  1. Eclipse Jetty: DoS attack triggering OutOfMemory with 100-Continue requests
    Wysoka · 7.5 CVE-2024-7708 >= 10.0.7, < 10.0.23, >= 11.0.7, < 11.0.23 10.0.23, 11.0.23
  2. The Eclipse Jetty Server Artifact has a Gzip request memory leak
    Wysoka · 7.5 CVE-2026-1605 >= 12.1.0, < 12.1.6, >= 12.0.0, < 12.0.32 12.1.6, 12.0.32
  3. **UNSUPPORTED WHEN ASSIGNED** GzipHandler causes part of request body to be seen as request body of a separate request
    Wysoka · 7.2 CVE-2024-13009 >= 9.4.0, < 9.4.57.v20241219 9.4.57.v20241219
  4. Jetty SslConnection does not release pooled ByteBuffers in case of errors
    Wysoka · 7.5 CVE-2022-2191 >= 10.0.0, < 10.0.10, >= 11.0.0, < 11.0.10 10.0.10, 11.0.10
  5. Jetty Uses Predictable Session Identifiers ten wpis
    Średnia CVE-2006-6969 < 4.2.27, >= 5.1.0, < 5.1.12, >= 6.0.0, < 6.0.2, >= 6.1.0pre1, < 6.1.0pre3 4.2.27, 5.1.12, 6.0.2, 6.1.0pre3
  6. Jetty vulnerable to incorrect handling of invalid large TLS frame, exhausting CPU resources
    Wysoka · 7.5 CVE-2021-28165 >= 7.2.2, < 9.4.39, >= 10.0.0, < 10.0.2, >= 11.0.0, < 11.0.2 9.4.39, 10.0.2, 11.0.2
  7. Operation on a Resource after Expiration or Release in Jetty Server
    Krytyczna · 9.4 CVE-2019-17638 >= 9.4.27, < 9.4.30.v20200611 9.4.30.v20200611
  8. Uncontrolled Resource Consumption in org.eclipse.jetty:jetty-server
    Wysoka · 7.5 CVE-2018-12545 >= 9.4.0, < 9.4.12.v20180830, >= 9.3.0, < 9.3.25.v20180904 9.4.12.v20180830, 9.3.25.v20180904
  9. Jetty vulnerable to exposure of sensitive information to unauthenticated remote users
    Wysoka · 7.5 CVE-2015-2080 < 9.2.9.v20150224 9.2.9.v20150224
  10. Jetty vulnerable to authorization bypass due to inconsistent HTTP request handling (HTTP Request Smuggling)
    Krytyczna · 9.8 CVE-2017-7658 < 9.2.25.v20180606, >= 9.3.0, < 9.3.24.v20180605, >= 9.4.0, < 9.4.11.v20180605 9.2.25.v20180606, 9.3.24.v20180605, 9.4.11.v20180605
  11. Jetty vulnerable to cache poisoning due to inconsistent HTTP request handling (HTTP Request Smuggling)
    Wysoka · 7.5 CVE-2017-7656 < 9.3.24.v20180605, >= 9.4.0, < 9.4.11.v20180605 9.3.24.v20180605, 9.4.11.v20180605
  12. Jetty contains an alias issue that could allow unauthenticated remote code execution due to specially crafted request
    Krytyczna · 9.8 CVE-2016-4800 >= 9.3.0, < 9.3.9 9.3.9
  13. Jetty vulnerable to exposure of sensitive information due to observable discrepancy
    Wysoka · 7.5 CVE-2017-9735 >= 9.4.0, < 9.4.6.v20170531, >= 9.3.0, < 9.3.20.v20170531, < 9.2.22.v20170606 9.4.6.v20170531, 9.3.20.v20170531, 9.2.22.v20170606
  14. Critical severity vulnerability that affects org.eclipse.jetty:jetty-server
    Krytyczna · 9.8 CVE-2017-7657 < 9.2.25.v20180606, >= 9.3.0, < 9.3.24.v20180605 9.2.25.v20180606, 9.3.24.v20180605
  15. Access and integrity issue within Eclipse Jetty
    Wysoka · 8.8 CVE-2018-12538 >= 9.4.0, < 9.4.11.v20180605 9.4.11.v20180605

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.