There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - In Eclipse Jetty version 9.2.26 and older, 9.3.25 and older, and 9.4.15 and older, the server is
    vulnerable to XSS conditions if a remote client USES a specially formatted URL against the DefaultServlet
    or ResourceHandler that is configured for showing a Listing of directory contents. (CVE-2019-10241)

遠端 Debian 10 主機上安裝的多個套件受 dsa-4949 公告中提及的多個弱點影響。

  - 在 Eclipse Jetty 9.2.26 和更舊版本、 9.3.25 和更舊版本以及 9.4.15 和更舊版本中，如果遠程用戶端針對設定為顯示目錄內容列表的 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，則服務器很容易受到 XSS 條件的影響。(CVE-2019-10241)

  - 在 Eclipse Jetty 7.x、 8.x、 9.2.27 和更舊版本、 9.3.26 和更舊版本以及 9.4.16 和更舊版本中，在任何 OS 和 Jetty 版本組合上執行的伺服器都會在輸出中顯示已設定的完整目錄基礎資源位置未找到符合要求路徑的 404 錯誤。jetty-distribution 和 jetty-home 上的預設伺服器行為將在 Handler 樹狀結構結尾包含一個 DefaultHandler，其負責報告此 404 錯誤，它將各種設定的內容呈現為 HTML，供使用者按一下即可存取。此產生的 HTML 包含輸出，其中包含每個內容的已設定完整目錄基礎資源位置。
    (CVE-2019-10247)

  - 在 Eclipse Jetty 1.0 版至 9.4.32.v20200930 版、10.0.0.alpha1 版至 10.0.0.beta2 版和 11.0.0.alpha1 版至 11.0.0.beta2O 版中，在類似 Unix 的系統上，临时目录可以在该系统上的所有用户之间共享。並置使用者可觀察在共用暫存目錄中建立暫存子目錄的過程，並爭用以完成暫存子目錄的建立。如果攻擊者在爭用中獲勝，則他們將擁有用於解壓縮 Web 應用程式的子目錄 (包括其 WEB-INF/lib jar 檔案和 JSP 檔案) 的讀取和寫入權限。如果在此暫存目錄之外執行任何程式碼，可能會導致本機權限提升弱點。(CVE-2020-27216)

  - 在 Eclipse Jetty 9.4.6.v20170531 版至 9.4.36.v20210114 版(含此版本)、 10.0.0 版和 11.0.0 版中，當 Jetty 使用大量品質 (即 q) 參數處理含有多個 Accept 標頭的要求時，伺服器可能會進入由於處理這些品質值的高 CPU 使用率所導致的拒絕服務 (DoS) 狀態，進而導致處理這些品質值的 CPU 時間耗盡。(CVE-2020-27223)

  - Fluentd 2020-12-18 版之前的 td-agent-builder 外掛程式允許攻擊者取得權限，因為 bin 目錄可由使用者帳戶寫入，但 bin 中的檔案是以 NT AUTHORITY\SYSTEM 執行。
    (CVE-2020-28169)

  - 對於 <= 9.4.40、 <= 10.0.2、 <= 11.0.2 的 Eclipse Jetty 版本，如果從 SessionListener#sessionDestroyed() 方法擲回例外狀況，則工作階段 ID 管理員中的工作階段 ID 不會失效。在具有叢集工作階段和多個內容的部署中，這可導致工作階段一直有效。這可能導致共用電腦上使用的應用程式保持登入狀態。
    (CVE-2021-34428)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

在 jetty (一個 Java servlet 引擎和 Webserver) 中發現數個弱點。攻擊者可能會向本機使用者洩漏密碼編譯認證 (如密碼)、洩漏安裝路徑、劫持使用者工作階段或竄改並置 Web 應用程式。

CVE-2017-9735

Jetty 容易受到 util/security/Password.java 中的計時通道弱點影響，遠端攻擊者可透過觀察拒絕錯誤密碼前的經過時間來輕易取得存取權。

CVE-2018-12536

在使用預設錯誤處理部署的 webapp 上，當發生與動態 url-pattern 不符且最終由 DefaultServlet 的靜態檔案服務處理的刻意錯誤查詢時，錯誤字元可觸發 java.nio.file.InvalidPathException，其中包含 DefaultServlet 和/或 webapp 所使用之基本資源目錄的完整路徑。如果此 InvalidPathException 之後由預設的錯誤處置程式處理，則錯誤回應中會包含 InvalidPathException 訊息，進而將完整的伺服器路徑顯示給提出要求的系統。

CVE-2019-10241

如果遠程用戶端針對設定為顯示目錄內容列表的 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，則服務器很容易受到 XSS 條件的影響。

CVE-2019-10247

在任何 OS 和 Jetty 版本組合上執行的伺服器都會在輸出中顯示已設定的完整目錄基礎資源位置未找到符合要求路徑的 404 錯誤。jetty-distribution 和 jetty-home 上的預設伺服器行為將在 Handler 樹狀結構結尾包含一個 DefaultHandler，其負責報告此 404 錯誤，它將各種設定的內容呈現為 HTML，供使用者按一下即可存取。此產生的 HTML 包含輸出，其中包含每個內容的已設定完整目錄基礎資源位置。

CVE-2020-27216

在類似 Unix 的系統上，系統的暫存目錄會在該系統上的所有使用者之間共用。並置使用者可觀察在共用暫存目錄中建立暫存子目錄的過程，並爭用以完成暫存子目錄的建立。如果攻擊者在爭用中獲勝，則他們將擁有用於解壓縮 Web 應用程式的子目錄 (包括其 WEB-INF/lib jar 檔案和 JSP 檔案) 的讀取和寫入權限。如果在此暫存目錄之外執行任何程式碼，可能會導致本機權限提升弱點。

此更新也包含其他數個錯誤修正和改良。
如需詳細資訊，請參閱上游變更記錄檔案。

針對 Debian 9 Stretch，已在 9.2.30-0+deb9u1 版本中修正這些問題。

建議您升級 jetty9 套件。

如需有關 jetty9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/jetty9

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Eclipse Jetty 9.2.26 和更舊版本、 9.3.25 和更舊版本以及 9.4.15 和更舊版本中，如果遠程用戶端針對設定為顯示目錄內容列表的 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，則服務器很容易受到 XSS 條件的影響。(CVE-2019-10241)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 IBM Cognos Analytics 版本低於 11.2.4 FP4 或 12.0.4。因此，該主機受到 7173592 公告中所提及的多個弱點影響。

  - formidable v3.1.4 中的任意檔案上傳弱點允許攻擊者透過偽造的檔案名稱來執行任意程式碼。請注意：有些第三方對於此問題存在爭議，因為在此產品的普通使用案例中，上傳任意檔案是需要的行為。另外，這些也是所有版本中能夠更改預設的檔案處理行為的設定選項。Strapi 認為這不是有效弱點。(CVE-2022-29622)

  - Node.js IP 套件允許遠端攻擊者在系統中執行任意程式碼，這是由 ip.isPublic() 函式中的伺服器端要求偽造缺陷造成。攻擊者可藉由傳送使用十六進位表示法的私有 IP 位址的特製要求，利用此弱點在系統中執行任意程式碼並取得敏感資訊。(CVE-2023-42282)   
  - 多個廠商的產品容易受到拒絕服務攻擊，原因是 HTTP/2 通訊協定在處理多路複用串流時會產生缺陷。遠端攻擊者可藉由在多個串流上傳送大量 HTTP/2 要求和 RST_STREAM 幀，利用此弱點來造成伺服器資源佔用，進而導致系統拒絕服務。(CVE-2023-44487)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 10 主机上安装的多个程序包受到 dsa-4949 公告中提及的多个漏洞影响。

  - 在 Eclipse Jetty 版本 9.2.26 及更早版本、 9.3.25 及更早版本以及 9.4.15 及更早版本中，如果远程客户端针对 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，该 URL 配置为显示目录内容。(CVE-2019-10241)

  - 在 Eclipse Jetty 版本 7.x、8.x、9.2.27 和更旧版本、 9.3.26 和更旧版本以及 9.4.16 及更旧版本中，在任何 OS 和 Jetty 版本组合上运行的服务器将在输出中显示配置的完全限定目录库资源位置未找到符合请求的路径的 404 错误。jetty-distribution 和 jetty-home 上的默认服务器行为将在 Handler 树的末尾包括一个 DefaultHandler，它负责报告此 404 错误，它将各种配置的上下文显示为 HTML 供用户点击。此生成的 HTML 包括输出，其中包含为每个上下文配置的完全限定的目录库资源位置。
    (CVE-2019-10247)

  - 在 Eclipse Jetty 版本 1.0 至 9.4.32.v20200930、10.0.0.alpha1 至 10.0.0.beta2 和 11.0.0.alpha1 至 11.0.0.beta2O 的类似 Unix 的系统中，临时目录在该系统上的所有用户之间共享。并置用户可以观察在共享临时目录中创建临时子目录的过程并争用完成临时子目录的创建。如果攻击者在竞争中获胜，则他们将拥有用于解包 Web 应用程序的子目录的读取和写入权限，包括其 WEB-INF/lib jar 文件和 JSP 文件。如果曾在此临时目录外执行任何代码，则可能导致本地权限升级漏洞。 (CVE-2020-27216)

  - 在 Eclipse Jetty 9.4.6.v20170531 至 9.4.36.v20210114（含此版本）、 10.0.0 和 11.0.0 中，当 Jetty 处理包含多个具有大量质量（即 q）参数的请求时，服务器可能进入由于处理这些质量值的高 CPU 使用率而导致的拒绝服务 (DoS) 状态，导致处理这些质量值花费几分钟的 CPU 时间。(CVE-2020-27223)

  - Fluentd 2020-12-18 之前版本的 td-agent-builder 插件允许攻击者获取权限，因为用户帐户可写入 bin 目录，但 bin 中的文件作为 NT AUTHORITY\SYSTEM 执行。
    (CVE-2020-28169)

  - 对于 <= 9.4.40、<= 10.0.2、<= 11.0.2 的 Eclipse Jetty 版本，如果从 SessionListener#sessionDestroyed() 方法抛出异常，则会话 ID 管理器中的会话 ID 不会失效。在具有群集会话和多个上下文的部署中，这可能导致会话不会失效。这可能导致共享计算机上使用的应用程序保持登录状态。
    (CVE-2021-34428)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

在 Java servlet 引擎和 Web 服务器 jetty 中发现多个漏洞。攻击者可能会泄露加密凭据（例如本地用户的密码）、泄露安装路径、劫持用户会话或篡改并置 WebApp。

CVE-2017-9735

Jetty 容易受到 util/security/Password.java 中计时通道的影响，这使远程攻击者更容易通过观察拒绝错误密码前经过的时间来获得访问权限。

CVE-2018-12536

在使用默认错误处理部署的 webapp 的所有版本中，当与动态 url-pattern 故意不匹配的错误查询抵达并最终由 DefaultServlet 的静态文件服务处理时，错误字符可触发 java.nio.file.InvalidPathException，其中包括 DefaultServlet 和/或 webapp 正在使用的基本资源目录的完整路径。如果此 InvalidPathException 随后由默认的错误处理程序处理，则错误响应中会包含 InvalidPathException 消息，从而向发出请求的系统显示完整的服务器路径。

CVE-2019-10241

如果远程客户端针对 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，该 URL 配置为显示目录内容。

CVE-2019-10247

在任何 OS 和 Jetty 版本组合上运行的服务器将在输出中显示配置的完全限定目录库资源位置未找到符合请求的路径的 404 错误。jetty-distribution 和 jetty-home 上的默认服务器行为将在 Handler 树的末尾包括一个 DefaultHandler，它负责报告此 404 错误，它将各种配置的上下文显示为 HTML 供用户点击。此生成的 HTML 包括输出，其中包含为每个上下文配置的完全限定的目录库资源位置。

CVE-2020-27216

在类似 Unix 的系统上，系统的临时目录由该系统上的所有用户共享。并置用户可以观察在共享临时目录中创建临时子目录的过程并争用完成临时子目录的创建。如果攻击者在竞争中获胜，则他们将拥有用于解包 Web 应用程序的子目录的读取和写入权限，包括其 WEB-INF/lib jar 文件和 JSP 文件。如果曾在此临时目录外执行任何代码，则可能导致本地特权提升漏洞。

此更新还包括多个其他缺陷修复和改进。
请参阅上游变更日志文件以获取更多信息。

对于 Debian 9 Stretch，已在版本 9.2.30-0+deb9u1 中修复这些问题。

我们建议您升级 jetty9 程序包。

如需了解 jetty9 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/jetty9

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Eclipse Jetty 版本 9.2.26 及更早版本、 9.3.25 及更早版本以及 9.4.15 及更早版本中，如果远程客户端针对 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，该 URL 配置为显示目录内容。(CVE-2019-10241)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 IBM Cognos Analytics 版本低于 11.2.4 FP4 或 12.0.4。因此，它受到 7173592 公告中提及的多个漏洞影响。

  - formidable v3.1.4 中存在任意文件上传漏洞，允许攻击者通过特制的文件名执行任意代码。注意：部分第三方对此问题有争议，因为该产品存在相关常见用例，其中需要执行任意文件上传。此外，所有版本中均设有配置选项，可变更默认文件处理行为。Strapi 不认为这是一个有效漏洞。(CVE-2022-29622)

  - Node.js IP 程序包允许远程攻击者在系统上执行任意代码，这是由 ip.isPublic() 函数中的服务器端请求伪造缺陷造成的。攻击者可使用私有 IP 地址的十六进制表示发送特制请求，利用此漏洞在系统上执行任意代码并获取敏感信息。(CVE-2023-42282)   
  - 多个供应商可能会受到拒绝服务的影响，这是由 HTTP/2 协议中多路复用流处理中的缺陷引起的。通过在多个流上发送大量 HTTP/2 请求和 RST_STREAM 帧，远程攻击者可利用此漏洞造成服务器资源消耗，进而导致拒绝服务。(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートのDebian 10ホストには、dsa-4949のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Eclipse Jettyのバージョン9.2.26以前、9.3.25以前、および9.4.15以前では、ディレクトリコンテンツのリストの表示用に構成されたDefaultServletまたはResourceHandlerに対して、リモートクライアントが特別にフォーマットされたURLを使用する場合、サーバーはXSS状態に対して脆弱です。 (CVE-2019-10241)

  - Eclipse Jettyのバージョン 7.x、8.x、9.2.27以前、9.3.26以前、および9.4.16以前では、任意のOSやJettyバージョンの組み合わせで実行しているサーバーが、クエストされたパスと一致するContextが見つからない場合に、404エラーの出力で構成済みの完全修飾ディレクトリベースのリソースの位置を明らかにします。jetty-distributionとjetty-homeのデフォルトのサーバー動作には、ハンドラーツリーの末尾にDefaultHandlerがあります。これはこの404エラーを報告する役割を果たし、ユーザーがクリックスルーするためのさまざまな構成済みコンテキストをHTMLとして提示します。この生成されたHTMLには、各コンテキストに対する構成済みの完全修飾ディレクトリベースリソースの場所を含む出力が含まれています。
    (CVE-2019-10247)

  - Eclipse Jettyのバージョン1.0から9.4.32.v20200930、10.0.0.alpha1から10.0.0.beta2、11.0.0.alpha1から11.0.0.beta2Oでは、Unixのようなシステムの場合、システムの全ユーザー間でシステムの一時ディレクトリが共有されます。併置されたユーザーは、共有一時ディレクトリで一時サブディレクトリを作成するプロセスを観察し、一時サブディレクトリの作成を完了するために競合する可能性があります。攻撃者が競合に勝った場合、攻撃者は、WEB-INF/lib jarファイルやJSPファイルを含む、Webアプリケーションの解凍に使用されるサブディレクトリに対する読み取りおよび書き込み権限を取得します。この一時ディレクトリ以外でコードが実行された場合、ローカルの権限昇格の脆弱性が発生する可能性があります。 (CVE-2020-27216)

  - Eclipse Jetty 9.4.6.v20170531から9.4.36.v20210114 (含む) 、10.0.0、および11.0.0では、Jettyが多数の品質 (つまり、q) パラメーターを持つ複数のAcceptヘッダーを含むリクエストを処理するとき、サーバーがこれらの品質値を処理する高いCPU使用率によるサービス拒否 (DoS) 状態になる可能性があります。これにより、これらの品質値の処理にCPU時間が消費されます。 (CVE-2020-27223)

  - Fluentd用の2020年12月18日より前のtd-agent-builderプラグインにより、binディレクトリはユーザーアカウントにより書き込み可能ですが、bin内のファイルはNT AUTHORITY\SYSTEMとして実行されるため、攻撃者が権限を取得する可能性があります。
    (CVE-2020-28169)

  - Eclipse Jettyバージョン <= 9.4.40、<= 10.0.2、<= 11.0.2の場合、SessionListener#sessionDestroyed()メソッドから例外がスローされると、セッションIDはセッションIDマネージャーで無効になりません。クラスター化されたセッションと複数のコンテキストを伴う展開では、これによりセッションが無効化されない可能性があります。これにより、共有コンピューターで使用されているアプリケーションがログインしたままになる可能性があります。
    (CVE-2021-34428)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Java サーブレットエンジンである jetty、および Web サーバーで、いくつかの脆弱性が発見されました。攻撃者が、パスワードなどの暗号化された認証情報をローカルユーザーに漏洩させたり、インストールパスを漏洩させたり、ユーザーセッションをハイジャックしたり、同じ場所に配置された Web アプリケーションを改ざんしたりする可能性があります。

CVE-2017-9735

Jetty は、util/security/Password.java のタイミングチャネルの影響を受けやすくなっています。このため、リモートの攻撃者は、正しくないパスワードを拒否するまでの経過時間を監視することで、簡単にアクセス権を取得できます。

CVE-2018-12536

デフォルトのエラー処理を使用して展開された webapp では、動的な url-pattern と一致しない意図的に不良なクエリが来て、最終的に DefaultServlet の静的ファイルサービングによって処理される場合、不良文字によって、DefaultServlet や webapp が使用しているベースリソースディレクトリへのフルパスを含む java.nio.file.InvalidPathException が発生する可能性があります。この InvalidPathException がデフォルトのエラーハンドラーによって処理されると、InvalidPathException メッセージがエラー応答に含まれるため、リクエストしているシステムへの完全なサーバーパスが明らかになります。

CVE-2019-10241

ディレクトリコンテンツのリストの表示用に構成された DefaultServlet または ResourceHandler に対してリモートクライアントが特別にフォーマットされた URL を使用する場合、サーバーは XSS 状態に対して脆弱です。

CVE-2019-10247

任意の OS や Jetty バージョンの組み合わせで実行しているサーバーは、クエストされたパスと一致する Context が見つからない場合に、404 エラーの出力で構成済みの完全修飾ディレクトリベースのリソースの位置を明らかにします。jetty-distribution と jetty-hom eのデフォルトのサーバー動作には、ハンドラーツリーの末尾に DefaultHandler があります。これはこの404エラーを報告する役割を果たし、ユーザーがクリックスルーするためのさまざまな構成済みコンテキストを HTML として提示します。この生成された HTML には、各コンテキストに対する構成済みの完全修飾ディレクトリベースリソースの場所を含む出力が含まれています。

CVE-2020-27216

Unix のようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。併置されたユーザーは、共有一時ディレクトリで一時サブディレクトリを作成するプロセスを観察し、一時サブディレクトリの作成を完了するために競合する可能性があります。攻撃者が競合に勝った場合、攻撃者は、WEB-INF/lib jar ファイルや JSP ファイルを含む、Web アプリケーションの解凍に使用されるサブディレクトリに対する読み取りおよび書き込み権限を取得します。この一時ディレクトリ以外でコードが実行された場合、ローカルの権限昇格の脆弱性が発生する可能性があります。

この更新プログラムには、その他のいくつかのバグ修正と改善策も含まれています。
詳細については、upstream 変更ログファイルを参照してください 。

Debian 9 'Stretch' では、これらの問題はバージョン 9.2.30-0+deb9u1 で修正されています。

jetty9 パッケージをアップグレードすることを推奨します。

jetty9の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/jetty9

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Eclipse Jettyのバージョン9.2.26以前、9.3.25以前、および9.4.15以前では、ディレクトリコンテンツのリストの表示用に構成されたDefaultServletまたはResourceHandlerに対して、リモートクライアントが特別にフォーマットされたURLを使用する場合、サーバーはXSS状態に対して脆弱です。 (CVE-2019-10241)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている IBM Cognos Analytics のバージョンは、11.2.4 FP4、または 12.0.4 より前です。したがって、7173592 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Formidable v3.1.4 の任意のファイルアップロードの脆弱性により、攻撃者は細工したファイル名を使用して任意のコードを実行できます。注意: この製品には、任意のファイルをアップロードすることが望ましい動作であるという一般的な使用例があるため、一部のサードパーティはこの問題に異議を唱えています。また、すべてのバージョンには、ファイルの処理方法のデフォルトの動作を変更できる設定オプションがあります。Strapi はこれを有効な脆弱性とは考えていません。(CVE-2022-29622)

  - Node.js IP パッケージでは、ip.isPublic() 関数のサーバーサイドリクエスト偽造の脆弱性により、リモートの攻撃者がシステム上で任意のコードを実行できます。攻撃者は、プライベート IP アドレスの 16 進表現を使用して特別に細工されたリクエストを送信することにより、この脆弱性を悪用してシステム上で任意のコードを実行し、機密情報を取得する可能性があります。(CVE-2023-42282)   
  - HTTP/2 プロトコルの多重化ストリームの処理における欠陥により、複数のベンダーがサービス拒否攻撃に対して脆弱です。リモートの攻撃者がこの脆弱性を悪用して、多数の HTTP/2 リクエストと RST_STREAM フレームを複数のストリーム経由で送信することにより、サーバーリソースの消費によるサービス拒否を引き起こす可能性があります。(CVE-2023-44487)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In Eclipse Jetty version 9.2.26 and older, 9.3.25 and older, and 9.4.15 and older, the server is     vulnerable to XSS conditions if a remote client USES a specially formatted URL against the DefaultServlet     or ResourceHandler that is configured for showing a Listing of directory contents. (CVE-2019-10241)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of IBM Cognos Analytics installed on the remote host is prior to 11.2.4 FP4 or 12.0.4. It is, therefore, affected by multiple vulnerabilities as referenced in the 7173592 advisory.

  - An arbitrary file upload vulnerability in formidable v3.1.4 allows attackers to execute arbitrary code via     a crafted filename. NOTE: some third parties dispute this issue because the product has common use cases     in which uploading arbitrary files is the desired behavior. Also, there are configuration options in all     versions that can change the default behavior of how files are handled. Strapi does not consider this to     be a valid vulnerability. (CVE-2022-29622)

  - Node.js IP package could allow a remote attacker to execute arbitrary code on the system, caused by a     server-side request forgery flaw in the ip.isPublic() function. By sending a specially crafted request     using a hexadecimal representation of a private IP address, an attacker could exploit this vulnerability     to execute arbitrary code on the system and obtain sensitive information. (CVE-2023-42282)   
  - Multiple vendors are vulnerable to a denial of service, caused by a flaw in handling multiplexed streams     in the HTTP/2 protocol. By sending numerous HTTP/2 requests and RST_STREAM frames over multiple streams, a     remote attacker could exploit this vulnerability to cause a denial of service due to server resource     consumption. (CVE-2023-44487)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 10 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-4949 advisory.

  - In Eclipse Jetty version 9.2.26 and older, 9.3.25 and older, and 9.4.15 and older, the server is     vulnerable to XSS conditions if a remote client USES a specially formatted URL against the DefaultServlet     or ResourceHandler that is configured for showing a Listing of directory contents. (CVE-2019-10241)

  - In Eclipse Jetty version 7.x, 8.x, 9.2.27 and older, 9.3.26 and older, and 9.4.16 and older, the server     running on any OS and Jetty version combination will reveal the configured fully qualified directory base     resource location on the output of the 404 error for not finding a Context that matches the requested     path. The default server behavior on jetty-distribution and jetty-home will include at the end of the     Handler tree a DefaultHandler, which is responsible for reporting this 404 error, it presents the various     configured contexts as HTML for users to click through to. This produced HTML includes output that     contains the configured fully qualified directory base resource location for each context.
    (CVE-2019-10247)

  - In Eclipse Jetty versions 1.0 thru 9.4.32.v20200930, 10.0.0.alpha1 thru 10.0.0.beta2, and 11.0.0.alpha1     thru 11.0.0.beta2O, on Unix like systems, the system's temporary directory is shared between all users on     that system. A collocated user can observe the process of creating a temporary sub directory in the shared     temporary directory and race to complete the creation of the temporary subdirectory. If the attacker wins     the race then they will have read and write permission to the subdirectory used to unpack web     applications, including their WEB-INF/lib jar files and JSP files. If any code is ever executed out of     this temporary directory, this can lead to a local privilege escalation vulnerability. (CVE-2020-27216)

  - In Eclipse Jetty 9.4.6.v20170531 to 9.4.36.v20210114 (inclusive), 10.0.0, and 11.0.0 when Jetty handles a     request containing multiple Accept headers with a large number of quality (i.e. q) parameters, the     server may enter a denial of service (DoS) state due to high CPU usage processing those quality values,     resulting in minutes of CPU time exhausted processing those quality values. (CVE-2020-27223)

  - The td-agent-builder plugin before 2020-12-18 for Fluentd allows attackers to gain privileges because the     bin directory is writable by a user account, but a file in bin is executed as NT AUTHORITY\SYSTEM.
    (CVE-2020-28169)

  - For Eclipse Jetty versions <= 9.4.40, <= 10.0.2, <= 11.0.2, if an exception is thrown from the     SessionListener#sessionDestroyed() method, then the session ID is not invalidated in the session ID     manager. On deployments with clustered sessions and multiple contexts this can result in a session not     being invalidated. This can result in an application used on a shared computer being left logged in.
    (CVE-2021-34428)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Several vulnerabilities were discovered in jetty, a Java servlet engine and webserver. An attacker may reveal cryptographic credentials such as passwords to a local user, disclose installation paths, hijack user sessions or tamper with collocated webapps.

CVE-2017-9735

Jetty is prone to a timing channel in util/security/Password.java, which makes it easier for remote attackers to obtain access by observing elapsed times before rejection of incorrect passwords.

CVE-2018-12536

On webapps deployed using default Error Handling, when an intentionally bad query arrives that doesn't match a dynamic url-pattern, and is eventually handled by the DefaultServlet's static file serving, the bad characters can trigger a java.nio.file.InvalidPathException which includes the full path to the base resource directory that the DefaultServlet and/or webapp is using. If this InvalidPathException is then handled by the default Error Handler, the InvalidPathException message is included in the error response, revealing the full server path to the requesting system.

CVE-2019-10241

The server is vulnerable to XSS conditions if a remote client USES a specially formatted URL against the DefaultServlet or ResourceHandler that is configured for showing a Listing of directory contents.

CVE-2019-10247

The server running on any OS and Jetty version combination will reveal the configured fully qualified directory base resource location on the output of the 404 error for not finding a Context that matches the requested path. The default server behavior on jetty-distribution and jetty-home will include at the end of the Handler tree a DefaultHandler, which is responsible for reporting this 404 error, it presents the various configured contexts as HTML for users to click through to. This produced HTML includes output that contains the configured fully qualified directory base resource location for each context.

CVE-2020-27216

On Unix like systems, the system's temporary directory is shared between all users on that system. A collocated user can observe the process of creating a temporary sub directory in the shared temporary directory and race to complete the creation of the temporary subdirectory. If the attacker wins the race then they will have read and write permission to the subdirectory used to unpack web applications, including their WEB-INF/lib jar files and JSP files. If any code is ever executed out of this temporary directory, this can lead to a local privilege escalation vulnerability.

This update also includes several other bug fixes and improvements.
For more information please refer to the upstream changelog file.

For Debian 9 stretch, these problems have been fixed in version 9.2.30-0+deb9u1.

We recommend that you upgrade your jetty9 packages.

For the detailed security status of jetty9 please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/jetty9

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
423271	SCA: security update for org.eclipse.jetty:jetty-server (GHSA-7vx9-xjhr-rw6h)	Tenable Self-Hosted Container Security	SCA Checks	2025/3/29	2026/7/2	medium
423271	SCA: security update for org.eclipse.jetty:jetty-server (GHSA-7vx9-xjhr-rw6h)	Tenable Cloud Security	SCA Checks	2025/3/29	2026/7/2	medium
152224	Debian DSA-4949-1：jetty9 - 安全性更新	Nessus	Debian Local Security Checks	2021/8/5	2023/12/6	critical
149518	Debian DLA-2661-1：jetty9 安全性更新	Nessus	Debian Local Security Checks	2021/5/17	2024/1/16	high
221806	Linux Distros 未修補弱點：CVE-2019-10241	Nessus	Misc.	2025/3/4	2025/9/3	medium
213274	IBM Cognos Analytics 11.2.x < 11.2.4 FP4 / 12.0.x < 12.0.4 多個弱點 (7173592)	Nessus	CGI abuses	2024/12/20	2025/4/3	critical
152224	Debian DSA-4949-1：jetty9 - 安全更新	Nessus	Debian Local Security Checks	2021/8/5	2023/12/6	critical
149518	Debian DLA-2661-1：jetty9 安全更新	Nessus	Debian Local Security Checks	2021/5/17	2024/1/16	high
221806	Linux Distros 未修补的漏洞: CVE-2019-10241	Nessus	Misc.	2025/3/4	2025/9/3	medium
213274	IBM Cognos Analytics 11.2.x < 11.2.4 FP4 / 12.0.x < 12.0.4 多个漏洞 (7173592)	Nessus	CGI abuses	2024/12/20	2025/4/3	critical
152224	Debian DSA-4949-1: jetty9 - セキュリティ更新	Nessus	Debian Local Security Checks	2021/8/5	2023/12/6	critical
149518	Debian DLA-2661-1：jetty9 セキュリティ更新	Nessus	Debian Local Security Checks	2021/5/17	2024/1/16	high
221806	Linux Distros のパッチ未適用の脆弱性: CVE-2019-10241	Nessus	Misc.	2025/3/4	2025/9/3	medium
213274	IBM Cognos Analytics 11.2.x < 11.2.4 FP4 / 12.0.x < 12.0.4 の複数の脆弱性 (7173592)	Nessus	CGI abuses	2024/12/20	2025/4/3	critical
221806	Linux Distros Unpatched Vulnerability : CVE-2019-10241	Nessus	Misc.	2025/3/4	2025/9/3	medium
213274	IBM Cognos Analytics 11.2.x < 11.2.4 FP4 / 12.0.x < 12.0.4 Multiple Vulnerabilities (7173592)	Nessus	CGI abuses	2024/12/20	2025/4/3	critical
152224	Debian DSA-4949-1 : jetty9 - security update	Nessus	Debian Local Security Checks	2021/8/5	2023/12/6	critical
149518	Debian DLA-2661-1 : jetty9 security update	Nessus	Debian Local Security Checks	2021/5/17	2024/1/16	high

检测

插件搜索

medium

medium

critical

high

medium

critical

critical

high

medium

critical

critical

high

medium

critical

medium

critical

critical

high