由于未正确处理标头值中的非法字符，Jetty 的远程实例受到 HttpParser 模块中的远程内存泄露漏洞的影响。在 HTTP 请求中遇到非法字符时，Jetty 将响应写入上一个请求中使用的共享缓冲区。Jetty 对客户端的响应包括此共享缓冲区，其中包含来自上一个请求的潜在敏感数据。攻击者可使用特别构建且包含非法字符的变量长度字符串的请求，窃取敏感的标头数据（如 Cookie、认证标记）或敏感的 POST 数据（如凭据）。

检测

Jetty HttpParser 错误远程内存泄漏

high Nessus 插件 ID 81576

未找到变更日志