低危 Eclipse Jetty 安全漏洞

CVE编号

CVE-2019-17638

利用情况

暂无

补丁情况

官方补丁

披露时间

2020-07-10
漏洞描述
Eclipse Jetty是Eclipse基金会的一个开源的、基于Java的Web服务器和Java Servlet容器。
在EclipseJetty版本9.4.27.v20200227到9.4.29.v20200521中,如果响应头太大,Jetty会抛出异常以生成HTTP 431错误。当发生这种情况时,包含HTTP响应头的ByteBuffer将被释放回ByteBufferPool两次。由于这个双重版本,两个线程可以从池中获取相同的ByteBuffer,当thread1准备使用ByteBuffer写入response1数据时,thread2用response2数据填充ByteBuffer。然后,Thread1继续写入现在包含response2数据的缓冲区。这会导致发出request1并期望响应的client1看到response2,后者可能包含属于client2的敏感数据(HTTP会话id、身份验证凭证等)。

解决建议
厂商已发布了漏洞修复程序,请及时关注更新:https://bugs.eclipse.org/bugs/show_bug.cgi?id=564984
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 eclipse jetty 9.4.27 -
运行在以下环境
应用 eclipse jetty 9.4.28 -
运行在以下环境
应用 eclipse jetty 9.4.29 -
运行在以下环境
系统 fedora_32 batik * Up to
(excluding)
1.13-1.fc32
运行在以下环境
系统 fedora_32 batik-css * Up to
(excluding)
1.13-1.fc32
运行在以下环境
系统 fedora_32 batik-demo * Up to
(excluding)
1.13-1.fc32
运行在以下环境
系统 fedora_32 batik-javadoc * Up to
(excluding)
1.13-1.fc32
运行在以下环境
系统 fedora_32 batik-rasterizer * Up to
(excluding)
1.13-1.fc32
运行在以下环境
系统 fedora_32 batik-slideshow * Up to
(excluding)
1.13-1.fc32
运行在以下环境
系统 fedora_32 batik-squiggle * Up to
(excluding)
1.13-1.fc32
运行在以下环境
系统 fedora_32 batik-svgpp * Up to
(excluding)
1.13-1.fc32
运行在以下环境
系统 fedora_32 batik-ttf2svg * Up to
(excluding)
1.13-1.fc32
运行在以下环境
系统 fedora_32 batik-util * Up to
(excluding)
1.13-1.fc32
阿里云评分
3.1
  • 攻击路径
    远程
  • 攻击复杂度
    复杂
  • 权限要求
    无需权限
  • 影响范围
    有限影响
  • EXP成熟度
    未验证
  • 补丁情况
    官方补丁
  • 数据保密性
    无影响
  • 数据完整性
    无影响
  • 服务器危害
    无影响
  • 全网数量
    100
CWE-ID 漏洞类型
CWE-672 在过期或释放后对资源进行操作
阿里云安全产品覆盖情况