Update to upstream version 9.4.11. Fixes CVE-2017-7656, CVE-2017-7657, CVE-2017-7658, CVE-2018-12538.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Multiple vulnerabilities were discovered in Jetty, a Java servlet engine and webserver which could result in HTTP request smuggling.

The version of F5 Networks BIG-IP installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the K10002140 advisory.

  - In Eclipse Jetty, versions 9.2.x and older, 9.3.x (all configurations), and 9.4.x (non-default     configuration with RFC2616 compliance enabled), transfer-encoding chunks are handled poorly. The chunk     length parsing was vulnerable to an integer overflow. Thus a large chunk size could be interpreted as a     smaller chunk size and content sent as chunk body could be interpreted as a pipelined request. If Jetty     was deployed behind an intermediary that imposed some authorization and that intermediary allowed     arbitrarily large chunks to be passed on unchanged, then this flaw could be used to bypass the     authorization imposed by the intermediary as the fake pipelined request would not be interpreted by the     intermediary as a request. (CVE-2017-7657)

  - In Eclipse Jetty Server, versions 9.2.x and older, 9.3.x (all non HTTP/1.x configurations), and 9.4.x (all     HTTP/1.x configurations), when presented with two content-lengths headers, Jetty ignored the second. When     presented with a content-length and a chunked encoding header, the content-length was ignored (as per RFC     2616). If an intermediary decided on the shorter length, but still passed on the longer body, then body     content could be interpreted by Jetty as a pipelined request. If the intermediary was imposing     authorization, the fake pipelined request would bypass that authorization. (CVE-2017-7658)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Update to upstream version 9.4.11. Fixes CVE-2017-7656, CVE-2017-7657, CVE-2017-7658.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Upstream バージョン 9.4.11 に更新してください。CVE-2017-7656、CVE-2017-7657、CVE-2017-7658、CVE-2018-12538を修正します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、テスト済みバージョンより前です。したがって、K10002140 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Eclipse Jetty のバージョン 9.2.x 以前、9.3.x (すべての設定)、9.4.x (RFC2616 コンプライアンスを有効にした非デフォルト設定) で、転送エンコーディングチャンクの処理が不十分です。チャンク長の解析は、整数オーバーフローに脆弱でした。このため、大きなチャンクサイズは小さなチャンクサイズとして解釈され、チャンク本文として送信されるコンテンツはパイプライン化されたリクエストとして解釈される可能性があります。Jetty が、一部の認証を強制する中間者の背後に配置され、中間者が任意の大きなチャンクを変更なしに渡すことを許可する場合、中間者によって偽のパイプライン化されたリクエストがリクエストとして解釈されないため、この欠陥を利用して中間者によって課される認証をバイパスする可能性があります。(CVE-2017-7657)

  - Eclipse Jetty Server、バージョン 9.2.x 以前、9.3.x (すべての非 HTTP/1.x 設定)、および 9.4.x (すべての HTTP/1.x 設定) で、2つの content-lengths ヘッダーが提示されると、Jetty は 2 番目を無視しました。content-length およびチャンクされたエンコーディングヘッダーが提示されると、content-length が無視されていました (RFC 2616 による)。仲介者が短い方の長さを決定したものの、それでも長い方の本文を渡した場合、本文のコンテンツは Jetty によってパイプライン化されたリクエストとして解釈される可能性があります。仲介者が承認を課している場合、偽のパイプライン化されたリクエストはその承認をバイパスします。(CVE-2017-7658)

Nessus はこれらの問題をテストしておらず、代わりにアプリケー代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

JavaサーブレットエンジンおよびWebサーバーであるJetty複数で脆弱性が発見されました。これにより、サービス拒否またはHTTPリクエストのスマグリングが発生する可能性があります。

Upstream バージョン 9.4.11 に更新してください。CVE-2017-7656、CVE-2017-7657、CVE-2017-7658 を修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

遠端主機上安裝的 F5 Networks BIG-IP 版本為測試版本之前的版本。因此，會受到 K10002140 公告中所提及的多個弱點影響。

  - 在 Eclipse Jetty 9.2.x 及更早版本、9.3.x 版 (所有組態) 和 9.4.x 版 (已啟用 RFC2616 合規性的非預設組態) 中，存在傳輸編碼區塊處理不當問題。區塊長度剖析容易受到整數溢位影響。因此，大區塊大小可能會被解譯為小區塊大小，而作為區塊內文傳送的內容可能會被解譯為管線化要求。如果 Jetty 部署在強制某些授權的中介之後，且該中介允許在不做修改的情況下傳遞任意大型區塊，由於中介不會將偽造的管線化要求解釋為要求，所以攻擊者可利用此瑕疵繞過中介強制的授權。(CVE-2017-7657)

  - 在 Eclipse Jetty Server 9.2.x 和更舊版本、 9.3.x (所有非 HTTP/1.x 組態) 和 9.4.x (所有 HTTP/1.x 組態) 中，當提供兩個 content-lengths 標頭時，Jetty 會忽略第二個標頭。當與 content-length 和區塊編碼標頭一起顯示時，content-length 會被忽略 (根據 RFC 2616)。如果中介決定使用長度較短的內文，但仍傳遞較長的內文，則 Jetty 可將內文內容解譯為工作流程化要求。如果中介強制執行授權，偽造的工作流程化要求將繞過這項授權。(CVE-2017-7658)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 F5 Networks BIG-IP 版本低于测试版本。因此，如公告 K10002140 所述，该主机受到多个漏洞的影响。

  - 在 Eclipse Jetty 版本 9.2.x 和更早版本、版本 9.3.x（所有配置）和版本 9.4.x（启用 RFC2616 合规的非默认配置） 中，系统对传输编码区块的处理欠妥。区块长度解析容易受到整数溢出漏洞的影响。因此，大区块大小可被解释为较小区块大小，作为区块正文发送的内容可被解释为管道请求。如果 Jetty 在施加某些授权的中介后面部署，并且该中介允许任意大型区块在未经更改的情况下传递，则此缺陷可被用于绕过中介施加的授权，这是因为该中介不会将假管道请求解释为请求。(CVE-2017-7657)

  - 在 Eclipse Jetty Server 9.2.x 及更旧版本、 9.3.x （所有非 HTTP/1.x 配置）和 9.4.x （所有 HTTP/1.x 配置）中，当提供两个 content-lengths 标头时，Jetty 会忽略第二个标头。当提供 content-length 和分块编码标头时，content-length 将被忽略（根据 RFC 2616）。如果中介决定使用长度较短的标头，但仍传递长度较长的正文，则 Jetty 可将正文内容解释为流水线请求。如果中介正在实施授权，伪造的流水线请求将绕过该授权。(CVE-2017-7658)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Jetty (一種 Java servlet 引擎和網頁伺服器) 中發現多個弱點，可導致 HTTP 要求走私。

Java servlet 引擎和 web 服务器 Jetty 中发现多个漏洞，可能会造成 HTTP 请求走私。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Eclipse Jetty Server, versions 9.2.x and older, 9.3.x (all non HTTP/1.x configurations), and 9.4.x (all     HTTP/1.x configurations), when presented with two content-lengths headers, Jetty ignored the second. When     presented with a content-length and a chunked encoding header, the content-length was ignored (as per RFC     2616). If an intermediary decided on the shorter length, but still passed on the longer body, then body     content could be interpreted by Jetty as a pipelined request. If the intermediary was imposing     authorization, the fake pipelined request would bypass that authorization. (CVE-2017-7658)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Eclipse Jetty Server 9.2.x 和更舊版本、 9.3.x (所有非 HTTP/1.x 組態) 和 9.4.x (所有 HTTP/1.x 組態) 中，當提供兩個 content-lengths 標頭時，Jetty 會忽略第二個標頭。當與 content-length 和區塊編碼標頭一起顯示時，content-length 會被忽略 (根據 RFC 2616)。如果中介決定使用長度較短的內文，但仍傳遞較長的內文，則 Jetty 可將內文內容解譯為工作流程化要求。如果中介強制執行授權，偽造的工作流程化要求將繞過這項授權。(CVE-2017-7658)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Eclipse Jetty Server 9.2.x 及更旧版本、 9.3.x （所有非 HTTP/1.x 配置）和 9.4.x （所有 HTTP/1.x 配置）中，当提供两个 content-lengths 标头时，Jetty 会忽略第二个标头。当提供 content-length 和分块编码标头时，content-length 将被忽略（根据 RFC 2616）。如果中介决定使用长度较短的标头，但仍传递长度较长的正文，则 Jetty 可将正文内容解释为流水线请求。如果中介正在实施授权，伪造的流水线请求将绕过该授权。(CVE-2017-7658)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Eclipse Jetty Server、バージョン 9.2.x 以前、9.3.x (すべての非 HTTP/1.x 設定)、および 9.4.x (すべての HTTP/1.x 設定) で、2つの content-lengths ヘッダーが提示されると、Jetty は 2 番目を無視しました。content-length およびチャンクされたエンコーディングヘッダーが提示されると、content-length が無視されていました (RFC 2616 による)。仲介者が短い方の長さを決定したものの、それでも長い方の本文を渡した場合、本文のコンテンツは Jetty によってパイプライン化されたリクエストとして解釈される可能性があります。仲介者が承認を課している場合、偽のパイプライン化されたリクエストはその承認をバイパスします。(CVE-2017-7658)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
111048	Fedora 27 : jetty (2018-93a507fd0f)	Nessus	Fedora Local Security Checks	2018/7/13	2024/9/5	critical
111987	Debian DSA-4278-1 : jetty9 - security update	Nessus	Debian Local Security Checks	2018/8/20	2024/8/16	critical
159514	F5 Networks BIG-IP : Eclipse Jetty vulnerabilities (K10002140)	Nessus	F5 Networks Local Security Checks	2022/4/5	2024/5/7	critical
120388	Fedora 28 : jetty (2018-48b73ed393)	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/8	critical
111048	Fedora 27：jetty（2018-93a507fd0f）	Nessus	Fedora Local Security Checks	2018/7/13	2024/9/5	critical
159514	F5 Networks BIG-IP : Eclipse Jetty の脆弱性 (K10002140)	Nessus	F5 Networks Local Security Checks	2022/4/5	2024/5/7	critical
111987	Debian DSA-4278-1：jetty - セキュリティ更新	Nessus	Debian Local Security Checks	2018/8/20	2024/8/16	critical
120388	Fedora 28：jetty（2018-48b73ed393）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/8	critical
159514	F5 Networks BIG-IP：Eclipse Jetty 弱點 (K10002140)	Nessus	F5 Networks Local Security Checks	2022/4/5	2024/5/7	critical
159514	F5 Networks BIG-IP：Eclipse Jetty 漏洞 (K10002140)	Nessus	F5 Networks Local Security Checks	2022/4/5	2024/5/7	critical
111987	Debian DSA-4278-1：jetty9 - 安全性更新	Nessus	Debian Local Security Checks	2018/8/20	2024/8/16	critical
111987	Debian DSA-4278-1：jetty9 - 安全更新	Nessus	Debian Local Security Checks	2018/8/20	2024/8/16	critical
221605	Linux Distros Unpatched Vulnerability : CVE-2017-7658	Nessus	Misc.	2025/3/4	2025/8/25	critical
221605	Linux Distros 未修補弱點：CVE-2017-7658	Nessus	Misc.	2025/3/4	2025/8/25	critical
221605	Linux Distros 未修补的漏洞: CVE-2017-7658	Nessus	Misc.	2025/3/4	2025/8/25	critical
221605	Linux Distros のパッチ未適用の脆弱性: CVE-2017-7658	Nessus	Misc.	2025/3/4	2025/8/25	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical