Zaloguj się
Deutsch English Español Polski
Krytyczna

Operation on a Resource after Expiration or Release in Jetty Server

  • Ujawniono: 05.08.2020
  • Aktualizacja: 11.10.2026 12:21

In Eclipse Jetty, versions 9.4.27.v20200227 to 9.4.29.v20200521, in case of too large response headers, Jetty throws an exception to produce an HTTP 431 error. When this happens, the ByteBuffer containing the HTTP response headers is released back to the ByteBufferPool twice. Because of this double release, two threads can acquire the same ByteBuffer from the pool and while thread1 is about to use the ByteBuffer to write response1 data, thread2 fills the ByteBuffer with response2 data. Thread1 then proceeds to write the buffer that now contains response2 data. This results in client1, which issued request1 and expects responses, to see response2 which could contain sensitive data belonging to client2 (HTTP session ids, authentication credentials, etc.).

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.eclipse.jetty:jetty-server >= 9.4.27, < 9.4.30.v20200611 9.4.30.v20200611

Odnośniki

Ocena CVSS 9.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
Słabość (CWE)
CWE-672, CWE-675
Platforma
Java / Kotlin (Maven)
Paczka
org.eclipse.jetty:jetty-server
Ujawniono
05.08.2020
Aktualizacja
11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-x3rh-m7vp-35f2 - CC BY 4.0

Historia podatności: org.eclipse.jetty:jetty-server

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (29) w archiwum
Wszystkich wpisów
29
Pierwsza → ostatnia
10.2018 07.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 4
  • Wysoka 10
  • Średnia 13
  • Niska 2

Ujawnienia w latach

Istotność:
  1. Eclipse Jetty: DoS attack triggering OutOfMemory with 100-Continue requests
    Wysoka · 7.5 CVE-2024-7708 >= 10.0.7, < 10.0.23, >= 11.0.7, < 11.0.23 10.0.23, 11.0.23
  2. The Eclipse Jetty Server Artifact has a Gzip request memory leak
    Wysoka · 7.5 CVE-2026-1605 >= 12.1.0, < 12.1.6, >= 12.0.0, < 12.0.32 12.1.6, 12.0.32
  3. **UNSUPPORTED WHEN ASSIGNED** GzipHandler causes part of request body to be seen as request body of a separate request
    Wysoka · 7.2 CVE-2024-13009 >= 9.4.0, < 9.4.57.v20241219 9.4.57.v20241219
  4. Jetty SslConnection does not release pooled ByteBuffers in case of errors
    Wysoka · 7.5 CVE-2022-2191 >= 10.0.0, < 10.0.10, >= 11.0.0, < 11.0.10 10.0.10, 11.0.10
  5. Jetty vulnerable to incorrect handling of invalid large TLS frame, exhausting CPU resources
    Wysoka · 7.5 CVE-2021-28165 >= 7.2.2, < 9.4.39, >= 10.0.0, < 10.0.2, >= 11.0.0, < 11.0.2 9.4.39, 10.0.2, 11.0.2
  6. Operation on a Resource after Expiration or Release in Jetty Server ten wpis
    Krytyczna · 9.4 CVE-2019-17638 >= 9.4.27, < 9.4.30.v20200611 9.4.30.v20200611
  7. Uncontrolled Resource Consumption in org.eclipse.jetty:jetty-server
    Wysoka · 7.5 CVE-2018-12545 >= 9.4.0, < 9.4.12.v20180830, >= 9.3.0, < 9.3.25.v20180904 9.4.12.v20180830, 9.3.25.v20180904
  8. Jetty vulnerable to exposure of sensitive information to unauthenticated remote users
    Wysoka · 7.5 CVE-2015-2080 < 9.2.9.v20150224 9.2.9.v20150224
  9. Jetty vulnerable to authorization bypass due to inconsistent HTTP request handling (HTTP Request Smuggling)
    Krytyczna · 9.8 CVE-2017-7658 < 9.2.25.v20180606, >= 9.3.0, < 9.3.24.v20180605, >= 9.4.0, < 9.4.11.v20180605 9.2.25.v20180606, 9.3.24.v20180605, 9.4.11.v20180605
  10. Jetty vulnerable to cache poisoning due to inconsistent HTTP request handling (HTTP Request Smuggling)
    Wysoka · 7.5 CVE-2017-7656 < 9.3.24.v20180605, >= 9.4.0, < 9.4.11.v20180605 9.3.24.v20180605, 9.4.11.v20180605
  11. Jetty contains an alias issue that could allow unauthenticated remote code execution due to specially crafted request
    Krytyczna · 9.8 CVE-2016-4800 >= 9.3.0, < 9.3.9 9.3.9
  12. Jetty vulnerable to exposure of sensitive information due to observable discrepancy
    Wysoka · 7.5 CVE-2017-9735 >= 9.4.0, < 9.4.6.v20170531, >= 9.3.0, < 9.3.20.v20170531, < 9.2.22.v20170606 9.4.6.v20170531, 9.3.20.v20170531, 9.2.22.v20170606
  13. Critical severity vulnerability that affects org.eclipse.jetty:jetty-server
    Krytyczna · 9.8 CVE-2017-7657 < 9.2.25.v20180606, >= 9.3.0, < 9.3.24.v20180605 9.2.25.v20180606, 9.3.24.v20180605
  14. Access and integrity issue within Eclipse Jetty
    Wysoka · 8.8 CVE-2018-12538 >= 9.4.0, < 9.4.11.v20180605 9.4.11.v20180605

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.