由于未正确处理标头值中的非法字符，Jetty 的远程实例受到 HttpParser 模块中的远程内存泄露漏洞的影响。在 HTTP 请求中遇到非法字符时，Jetty 将响应写入上一个请求中使用的共享缓冲区。Jetty 对客户端的响应包括此共享缓冲区，其中包含来自上一个请求的潜在敏感数据。攻击者可使用特别构建且包含非法字符的变量长度字符串的请求，窃取敏感的标头数据（如 Cookie、认证标记）或敏感的 POST 数据（如凭据）。

衍合到上游版本 9.2.9，解决了 CVE-2015-2080 安全漏洞。

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Jetty のリモートインスタンスは、ヘッダー値にある不正文字の不適切な処理により、HttpParser モジュールのリモートメモリ漏洩の脆弱性から影響を受けます。不正な文字が HTTP リクエスト内にある場合、Jetty は前のリクエストで使用した共有バッファに応答を書き込みます。Jetty からクライアントへの応答にはこの共有バッファが含まれており、そこには前のリクエストからの機密データが収容されている可能性があります。攻撃者は、可変長の不正文字を含む特別に細工されたリクエストを使って、機密ヘッダーデータ（例：クッキー、認証トークン）や機密 POST データ（例：認証情報）を盗む可能性があります。

Upstream バージョン 9.2.9 にリベースします。CVE-2015-2080 のセキュリティの脆弱性を解決します。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Jetty 的遠端執行個體受到 HttpParser 模組中的一個遠端記憶體洩漏弱點影響，此弱點是因為錯誤處理標頭值中的不合法字元所導致。當在 HTTP 要求中遇到不合法字元時，Jetty 會在先前要求中所使用的共用緩衝區中寫入回應。Jetty 對用戶端的回應包含這個共用緩衝區，其中含有來自先前要求的潛在敏感資料。攻擊者可利用含有不合法字元的變數長度字串的特製要求，竊取敏感標頭資料 (例如 Cookie、驗證 token) 或敏感 POST 資料 (例如憑證)。

上游版本 9.2.9 的重定基底，可解決 CVE-2015-2080 安全性弱點。

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

The remote instance of Jetty is affected by a remote memory disclosure vulnerability in the HttpParser module due to incorrect handling of illegal characters in header values. When an illegal character is encountered in an HTTP request, Jetty writes a response in a shared buffer that was used in a previous request. Jetty's response to the client includes this shared buffer which contains potentially sensitive data from the previous request. An attacker, using specially crafted requests containing variable length strings of illegal characters, can steal sensitive header data (e.g. cookies, authentication tokens) or sensitive POST data (e.g. credentials).

Rebase to upstream version 9.2.9, resolves CVE-2015-2080 security vulnerability.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名稱	產品	系列	已發布	已更新	嚴重性
81576	Jetty HttpParser 错误远程内存泄漏	Nessus	Web Servers	2015/2/27	2019/11/26	high
81841	Fedora 22：jetty-9.2.9-1.fc22 (2015-2673)	Nessus	Fedora Local Security Checks	2015/3/17	2021/1/11	high
81576	Jetty HttpParser エラーによるリモートメモリ漏洩	Nessus	Web Servers	2015/2/27	2019/11/26	high
81841	Fedora 22：jetty-9.2.9-1.fc22（2015-2673）	Nessus	Fedora Local Security Checks	2015/3/17	2021/1/11	high
81576	Jetty HttpParser 錯誤遠端記憶體洩漏	Nessus	Web Servers	2015/2/27	2019/11/26	high
81841	Fedora 22 : jetty-9.2.9-1.fc22 (2015-2673)	Nessus	Fedora Local Security Checks	2015/3/17	2021/1/11	high
81576	Jetty HttpParser Error Remote Memory Disclosure	Nessus	Web Servers	2015/2/27	2019/11/26	high
81841	Fedora 22 : jetty-9.2.9-1.fc22 (2015-2673)	Nessus	Fedora Local Security Checks	2015/3/17	2021/1/11	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high