远程 Debian 10 主机上安装的程序包受到 dla-3592 公告中提及的多个漏洞影响。

  - Jetty 是一个基于 java 的 Web 服务器和 servlet 引擎。在受影响的版本中，对于调用 `HttpServletRequest.getParameter()` 或 `HttpServletRequest.getParts()` 的多部分支持（例如注释为  `@MultipartConfig`）的 servlet，其可能会在客户端发送包含有名称但无文件名且内容非常大的部分的多部分请求时导致 `OutOfMemoryError`。即使使用默认设置 `fileSizeThreshold=0` 也会发生这种情况，该设置应将整个部分内容流式传输到磁盘。攻击者客户端可能会发送大型多部分请求并导致服务器抛出 `OutOfMemoryError`。然而，服务器可能会在 `OutOfMemoryError` 之后恢复并继续其服务，尽管这可能需要一些时间。已在  9.4.51、10.0.14 和 11.0.14 中修补此问题。建议用户升级。
    无法升级的用户可以设置多部分参数 `maxRequestSize`，该参数必须设置为非负值，因此整个多部分内容都会受到限制（尽管仍然读入内存）。
    (CVE-2023-26048)

  - Jetty 是一个基于 java 的 Web 服务器和 servlet 引擎。Jetty 中存在非标准 Cookie 解析，攻击者可利用此问题在其他 Cookie 中走私 Cookie，或是通过篡改 Cookie 解析机制来执行意外行为。如果 Jetty 看到以 ``（双引号）开头的 Cookie 值，它将继续读取 Cookie 字符串，直到看到闭引号，即使遇到分号也是如此。因此，Cookie 标头示例如下：`DISPLAY_LANGUAGE=b; JSESSIONID=1337; c=d` 将被解析为一个 Cookie，名称为 DISPLAY_LANGUAGE，值为 b; JSESSIONID=1337; c=d，而非 3 个单独的 Cookie。此操作具有安全隐患，因为如果 JSESSIONID 为 HttpOnly Cookie，且 DISPLAY_LANGUAGE Cookie 值呈现在页面上，攻击者就可将 JSESSIONID Cookie 传递至 DISPLAY_LANGUAGE Cookie 中，从而泄露此信息。当中介基于 Cookie 制定某些策略时，此点尤为重要，因此走私的  Cookie 可以绕过该策略，但仍然可以被 Jetty 服务器或其日志系统看到。此问题已在 9.4.51、10.0.14、11.0.14 和 12.0.0.beta0 版本中解决，建议所有用户升级。针对此问题，尚无已知的变通方案。
    (CVE-2023-26049)

  - Eclipse Jetty Canonical 存储库是 Jetty 项目的规范存储库。具有非常具体的命令结构的 CgiServlet 的用户可能会执行错误的命令。如果用户向 org.eclipse.jetty.servlets.CGI Servlet 发送名称中包含空格的二进制文件的请求，Servlet 则会用引号将命令封装以转义该命令。随后，系统将通过调用 Runtime.exec 来执行此封装命令以及可选命令前缀。如果用户提供的原始二进制文件名称中包含后跟一个空格的引号，则生成的命令行将包含多个标记，而非一个。已在 9.4.52、10.0.16、11.0.16 和 12.0.0-beta2 版本中修复此问题。
    (CVE-2023-36479)

  - Jetty 为基于 Java 的 Web 服务器和 servlet 引擎。在版本 9.4.52、10.0.16、11.0.16 和 12.0.1 之前，Jetty 会接受 HTTP/1 标头字段中 content-length 值前面的 `+` 字符。这比 RFC 允许的更为宽松，而其他服务器通常会拒绝此类请求并返回 400 响应。目前尚无已知的利用场景，但可以预见，如果 jetty 与发送此类 400 响应后不关闭连接的服务器结合使用，就可能会导致请求走私情形。 9.4.52、10.0.16、11.0.16 和 12.0.1 版包含针对此问题的补丁。由于目前尚无已知的利用场景，因此没有 变通方案。(CVE-2023-40167)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3592-1：jetty9 - LTS 安全更新

medium Nessus 插件 ID 182409

版本 1.3

版本 1.2

版本 1.1

版本 1.0

版本 1.3 Jan 22, 2025, 5:44 PM CVSS metrics ("Cvssv4 score" set to 0.0) CVSSv2 severity (based on None, severity decreased from "High" to "Low") Plugin metadata Plugin Feed: 202501221744
版本 1.2 Mar 21, 2024, 2:00 PM IAVM reference Plugin Feed: 202403211400
版本 1.1 Oct 24, 2023, 4:27 PM IAVM reference Plugin Feed: 202310241627
版本 1.0 Oct 1, 2023, 10:10 AM New Plugin Feed: 202310011010