Debian DLA-2661-1：jetty9 安全性更新
high Nessus Plugin ID 149518
語系：
概要
遠端 Debian 主機缺少一個安全性更新。說明
在 jetty (一個 Java servlet 引擎和 Webserver) 中發現數個弱點。攻擊者可能會向本機使用者洩漏密碼編譯認證 (如密碼)、洩漏安裝路徑、劫持使用者工作階段或竄改並置 Web 應用程式。CVE-2017-9735
Jetty 容易受到 util/security/Password.java 中的計時通道弱點影響，遠端攻擊者可透過觀察拒絕錯誤密碼前的經過時間來輕易取得存取權。
CVE-2018-12536
在使用預設錯誤處理部署的 webapp 上，當發生與動態 url-pattern 不符且最終由 DefaultServlet 的靜態檔案服務處理的刻意錯誤查詢時，錯誤字元可觸發 java.nio.file.InvalidPathException，其中包含 DefaultServlet 和/或 webapp 所使用之基本資源目錄的完整路徑。如果此 InvalidPathException 之後由預設的錯誤處置程式處理，則錯誤回應中會包含 InvalidPathException 訊息，進而將完整的伺服器路徑顯示給提出要求的系統。
CVE-2019-10241
如果遠程用戶端針對設定為顯示目錄內容列表的 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，則服務器很容易受到 XSS 條件的影響。
CVE-2019-10247
在任何 OS 和 Jetty 版本組合上執行的伺服器都會在輸出中顯示已設定的完整目錄基礎資源位置未找到符合要求路徑的 404 錯誤。jetty-distribution 和 jetty-home 上的預設伺服器行為將在 Handler 樹狀結構結尾包含一個 DefaultHandler，其負責報告此 404 錯誤，它將各種設定的內容呈現為 HTML，供使用者按一下即可存取。此產生的 HTML 包含輸出，其中包含每個內容的已設定完整目錄基礎資源位置。
CVE-2020-27216
在類似 Unix 的系統上，系統的暫存目錄會在該系統上的所有使用者之間共用。並置使用者可觀察在共用暫存目錄中建立暫存子目錄的過程，並爭用以完成暫存子目錄的建立。如果攻擊者在爭用中獲勝，則他們將擁有用於解壓縮 Web 應用程式的子目錄 (包括其 WEB-INF/lib jar 檔案和 JSP 檔案) 的讀取和寫入權限。如果在此暫存目錄之外執行任何程式碼，可能會導致本機權限提升弱點。
此更新也包含其他數個錯誤修正和改良。
如需詳細資訊，請參閱上游變更記錄檔案。
針對 Debian 9 Stretch，已在 9.2.30-0+deb9u1 版本中修正這些問題。
建議您升級 jetty9 套件。
如需有關 jetty9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/jetty9
注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。
解決方案
升級受影響的套件。另請參閱
https://lists.debian.org/debian-lts-announce/2021/05/msg00016.html
https://packages.debian.org/source/stretch/jetty9
https://security-tracker.debian.org/tracker/source-package/jetty9
Plugin 詳細資訊
嚴重性: High
ID: 149518
檔案名稱: debian_DLA-2661.nasl
版本: 1.8
類型: local
代理程式: unix
已發布: 2021/5/17
已更新: 2024/1/16
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus
風險資訊
VPR
風險因素: High
分數: 7.4
CVSS v2
風險因素: Medium
基本分數: 5
時間分數: 4.1
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2019-10247
CVSS v3
風險因素: High
基本分數: 7.5
時間分數: 7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:F/RL:O/RC:C
CVSS 評分資料來源: CVE-2017-9735
弱點資訊
CPE: p-cpe:/a:debian:debian_linux:jetty9, p-cpe:/a:debian:debian_linux:libjetty9-extra-java, p-cpe:/a:debian:debian_linux:libjetty9-java, cpe:/o:debian:debian_linux:9.0
必要的 KB 項目: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2021/5/14
弱點發布日期: 2017/6/16
參考資訊
CVE: CVE-2017-9735, CVE-2018-12536, CVE-2019-10241, CVE-2019-10247, CVE-2020-27216