Update to upstream version 9.4.11. Fixes CVE-2017-7656, CVE-2017-7657, CVE-2017-7658, CVE-2018-12538.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Update to upstream version 9.4.11. Fixes CVE-2017-7656, CVE-2017-7657, CVE-2017-7658.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Multiple vulnerabilities were discovered in Jetty, a Java servlet engine and webserver which could result in HTTP request smuggling.

The remote Redhat Enterprise Linux 6 host has one or more packages installed that are affected by multiple vulnerabilities that have been acknowledged by the vendor but will not be patched.

  - jetty: Incorrect header handling (CVE-2017-7658)

  - In Eclipse Jetty, versions 9.2.x and older, 9.3.x (all configurations), and 9.4.x (non-default     configuration with RFC2616 compliance enabled), HTTP/0.9 is handled poorly. An HTTP/1 style request line     (i.e. method space URI space version) that declares a version of HTTP/0.9 was accepted and treated as a     0.9 request. If deployed behind an intermediary that also accepted and passed through the 0.9 version (but     did not act on it), then the response sent could be interpreted by the intermediary as HTTP/1 headers.
    This could be used to poison the cache if the server allowed the origin client to generate arbitrary     content in the response. (CVE-2017-7656)

  - In Eclipse Jetty, versions 9.2.x and older, 9.3.x (all configurations), and 9.4.x (non-default     configuration with RFC2616 compliance enabled), transfer-encoding chunks are handled poorly. The chunk     length parsing was vulnerable to an integer overflow. Thus a large chunk size could be interpreted as a     smaller chunk size and content sent as chunk body could be interpreted as a pipelined request. If Jetty     was deployed behind an intermediary that imposed some authorization and that intermediary allowed     arbitrarily large chunks to be passed on unchanged, then this flaw could be used to bypass the     authorization imposed by the intermediary as the fake pipelined request would not be interpreted by the     intermediary as a request. (CVE-2017-7657)

Note that Nessus has not tested for these issues but has instead relied on the package manager's report that the package is installed.

Upstream バージョン 9.4.11 に更新してください。CVE-2017-7656、CVE-2017-7657、CVE-2017-7658 を修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Upstream バージョン 9.4.11 に更新してください。CVE-2017-7656、CVE-2017-7657、CVE-2017-7658、CVE-2018-12538を修正します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

JavaサーブレットエンジンおよびWebサーバーであるJetty複数で脆弱性が発見されました。これにより、サービス拒否またはHTTPリクエストのスマグリングが発生する可能性があります。

Java servlet 引擎和 web 服务器 Jetty 中发现多个漏洞，可能会造成 HTTP 请求走私。

在 Jetty (一種 Java servlet 引擎和網頁伺服器) 中發現多個弱點，可導致 HTTP 要求走私。

The version of F5 Networks BIG-IP installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the K10002140 advisory.

  - In Eclipse Jetty, versions 9.2.x and older, 9.3.x (all configurations), and 9.4.x (non-default     configuration with RFC2616 compliance enabled), transfer-encoding chunks are handled poorly. The chunk     length parsing was vulnerable to an integer overflow. Thus a large chunk size could be interpreted as a     smaller chunk size and content sent as chunk body could be interpreted as a pipelined request. If Jetty     was deployed behind an intermediary that imposed some authorization and that intermediary allowed     arbitrarily large chunks to be passed on unchanged, then this flaw could be used to bypass the     authorization imposed by the intermediary as the fake pipelined request would not be interpreted by the     intermediary as a request. (CVE-2017-7657)

  - In Eclipse Jetty Server, versions 9.2.x and older, 9.3.x (all non HTTP/1.x configurations), and 9.4.x (all     HTTP/1.x configurations), when presented with two content-lengths headers, Jetty ignored the second. When     presented with a content-length and a chunked encoding header, the content-length was ignored (as per RFC     2616). If an intermediary decided on the shorter length, but still passed on the longer body, then body     content could be interpreted by Jetty as a pipelined request. If the intermediary was imposing     authorization, the fake pipelined request would bypass that authorization. (CVE-2017-7658)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

According to its self-reported version number, the version of JFrog Artifactory installed on the remote host is prior to 7.11.1. It is, therefore, affected by multiple vulnerabilities:

  - A flaw was found in FasterXML Jackson Databind, where it did not have entity expansion secured properly.
    This flaw allows vulnerability to XML external entity (XXE) attacks. The highest threat from this vulnerability     is data integrity. (CVE-2020-25649)   
  - Plexus-utils before 3.0.16 is vulnerable to command injection because it does not correctly process the contents     of double quoted strings. (CVE-2017-1000487)

  - In Eclipse Jetty, versions 9.2.x and older, 9.3.x (all configurations), and 9.4.x (non-default configuration     with RFC2616 compliance enabled), transfer-encoding chunks are handled poorly. The chunk length parsing was     vulnerable to an integer overflow. Thus a large chunk size could be interpreted as a smaller chunk size and     content sent as chunk body could be interpreted as a pipelined request. If Jetty was deployed behind an     intermediary that imposed some authorization and that intermediary allowed arbitrarily large chunks to be passed on     unchanged, then this flaw could be used to bypass the authorization imposed by the intermediary as the fake     pipelined request would not be interpreted by the intermediary as a request. (CVE-2017-7657)

  - In Hazelcast before 3.11, the cluster join procedure is vulnerable to remote code execution via Java     deserialization. If an attacker can reach a listening Hazelcast instance with a crafted JoinRequest, and vulnerable     classes exist in the classpath, the attacker can run arbitrary code. (CVE-2016-10750)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

自己報告のバージョン番号によると、リモートホストにインストールされているJFrog Artifactoryのバージョンは7.11.1以前です。そのため、以下の複数の脆弱性の影響を受けます。

  - FasterXML Jackson Databindに欠陥が見つかり、エンティティ拡張が適切に保護されていませんでした。
    この欠陥により、XML外部エンティティ（XXE）攻撃に対する脆弱性が存在します。この脆弱性が最大の脅威となるのは、データの整合性です。（CVE-2020-25649）   
  - 3.0.16以前のPlexus-utilsは、二重引用符で囲まれた文字列のコンテンツを正しく処理しないため、コマンドインジェクションに対して脆弱です。（CVE-2017-1000487）

  - Eclipse Jettyのバージョン9.2.x以前、9.3.x（すべての構成）、9.4.x（RFC2616コンプライアンスを有効にした非デフォルト構成）で、転送エンコーディングチャンクの処理が不十分です。チャンク長の解析は、整数オーバーフローに脆弱でした。このため、大きなチャンクサイズは小さなチャンクサイズとして解釈され、チャンク本文として送信されるコンテンツはパイプライン化されたリクエストとして解釈される可能性があります。Jettyが、一部の認証を強制する中間者の背後に配置され、中間者が任意の大きなチャンクを変更なしに渡すことを許可する場合、中間者によって偽のパイプライン化されたリクエストがリクエストとして解釈されないため、この欠陥を利用して中間者によって課される認証をバイパスする可能性があります。（CVE-2017-7657）

  - 3.11以前のHazelcastで、クラスターの参加プロシージャは、Java逆シリアル化を介したリモートコード実行に対して脆弱性です。攻撃者が細工されたJoinRequestでリスニングHazelcastインスタンスに到達でき、クラスパスに脆弱なクラスが存在する場合、攻撃者が任意のコードを実行する可能性があります。（CVE-2016-10750）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、テスト済みバージョンより前です。したがって、K10002140 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Eclipse Jetty のバージョン 9.2.x 以前、9.3.x (すべての設定)、9.4.x (RFC2616 コンプライアンスを有効にした非デフォルト設定) で、転送エンコーディングチャンクの処理が不十分です。チャンク長の解析は、整数オーバーフローに脆弱でした。このため、大きなチャンクサイズは小さなチャンクサイズとして解釈され、チャンク本文として送信されるコンテンツはパイプライン化されたリクエストとして解釈される可能性があります。Jetty が、一部の認証を強制する中間者の背後に配置され、中間者が任意の大きなチャンクを変更なしに渡すことを許可する場合、中間者によって偽のパイプライン化されたリクエストがリクエストとして解釈されないため、この欠陥を利用して中間者によって課される認証をバイパスする可能性があります。(CVE-2017-7657)

  - Eclipse Jetty Server、バージョン 9.2.x 以前、9.3.x (すべての非 HTTP/1.x 設定)、および 9.4.x (すべての HTTP/1.x 設定) で、2つの content-lengths ヘッダーが提示されると、Jetty は 2 番目を無視しました。content-length およびチャンクされたエンコーディングヘッダーが提示されると、content-length が無視されていました (RFC 2616 による)。仲介者が短い方の長さを決定したものの、それでも長い方の本文を渡した場合、本文のコンテンツは Jetty によってパイプライン化されたリクエストとして解釈される可能性があります。仲介者が承認を課している場合、偽のパイプライン化されたリクエストはその承認をバイパスします。(CVE-2017-7658)

Nessus はこれらの問題をテストしておらず、代わりにアプリケー代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

根據其自我報告的版本號碼判斷，遠端主機上安裝的 JFrog Artifactory 版本為 7.11.1 之前版本。因此受到多個弱點影響：

  - 在 FasterXML Jackson Databind 中發現一個瑕疵，其未正確保護實體擴充。
    攻擊者可利用此瑕疵發動 XML 外部實體 (XXE) 攻擊。此弱點對資料完整性的威脅最大。(CVE-2020-25649)   
  - Plexus-utils 3.0.16 之前版本未正確處理雙引號字串的內容，因而容易受到命令插入攻擊。(CVE-2017-1000487)

  - 在 Eclipse Jetty 9.2.x 及更早版本、9.3.x 版 (所有組態) 和 9.4.x 版 (已啟用 RFC2616 合規性的非預設組態) 中，存在傳輸編碼區塊處理不當問題。區塊長度剖析容易受到整數溢位影響。因此，大區塊大小可能會被解譯為小區塊大小，而作為區塊內文傳送的內容可能會被解譯為管線化要求。如果 Jetty 部署在強制某些授權的中介之後，且該中介允許在不做修改的情況下傳遞任意大型區塊，由於中介不會將偽造的管線化要求解釋為要求，所以攻擊者可利用此瑕疵繞過中介強制的授權。(CVE-2017-7657)

  - 在 Hazelcast 3.11 之前版本中，叢集加入程序容易受到透過 Java 還原序列化發起的遠端程式碼執行攻擊。如果攻擊者可透過特製的 JoinRequest 連線至接聽中的 Hazelcast 執行個體，且類別路徑中存在具有弱點的類別，則攻擊者可執行任意程式碼。(CVE-2016-10750)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機上安裝的 F5 Networks BIG-IP 版本為測試版本之前的版本。因此，會受到 K10002140 公告中所提及的多個弱點影響。

  - 在 Eclipse Jetty 9.2.x 及更早版本、9.3.x 版 (所有組態) 和 9.4.x 版 (已啟用 RFC2616 合規性的非預設組態) 中，存在傳輸編碼區塊處理不當問題。區塊長度剖析容易受到整數溢位影響。因此，大區塊大小可能會被解譯為小區塊大小，而作為區塊內文傳送的內容可能會被解譯為管線化要求。如果 Jetty 部署在強制某些授權的中介之後，且該中介允許在不做修改的情況下傳遞任意大型區塊，由於中介不會將偽造的管線化要求解釋為要求，所以攻擊者可利用此瑕疵繞過中介強制的授權。(CVE-2017-7657)

  - 在 Eclipse Jetty Server 9.2.x 和更舊版本、 9.3.x (所有非 HTTP/1.x 組態) 和 9.4.x (所有 HTTP/1.x 組態) 中，當提供兩個 content-lengths 標頭時，Jetty 會忽略第二個標頭。當與 content-length 和區塊編碼標頭一起顯示時，content-length 會被忽略 (根據 RFC 2616)。如果中介決定使用長度較短的內文，但仍傳遞較長的內文，則 Jetty 可將內文內容解譯為工作流程化要求。如果中介強制執行授權，偽造的工作流程化要求將繞過這項授權。(CVE-2017-7658)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

根据其自我报告的版本号，远程主机上安装的 JFrog Artifactory 版本低于 7.11.1。因此，该应用程序受到多个漏洞的影响：

  - 在 FasterXML Jackson Databind 中发现一个缺陷，即未正确保护实体扩展。
    此缺陷带来的漏洞可招致 XML 外部实体 (XXE) 攻击。此漏洞最主要的威胁对象是数据完整性。(CVE-2020-25649)   
  - 3.0.16 之前的 Plexus-utils 容易受到命令注入漏洞的影响，这是因为它未正确处理双引号字符串的内容。(CVE-2017-1000487)

  - 在 Eclipse Jetty 版本 9.2.x 和更早版本、版本 9.3.x（所有配置）和版本 9.4.x（启用 RFC2616 合规的非默认配置） 中，系统对传输编码区块的处理欠妥。区块长度解析容易受到整数溢出漏洞的影响。因此，大区块大小可被解释为较小区块大小，作为区块正文发送的内容可被解释为管道请求。如果 Jetty 在施加某些授权的中介后面部署，并且该中介允许任意大型区块在未经更改的情况下传递，则此缺陷可被用于绕过中介施加的授权，这是因为该中介不会将假管道请求解释为请求。(CVE-2017-7657)

  - 在 3.11 之前的 Hazelcast  中，群集加入程序容易因 Java 反序列化而受到远程代码执行的影响。如果攻击者可通过构建的 joinRequest 访问监听 Hazelcast 实例，并且类路径中存在易受攻击的类，则攻击者可以运行任意代码。(CVE-2016-10750)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 F5 Networks BIG-IP 版本低于测试版本。因此，如公告 K10002140 所述，该主机受到多个漏洞的影响。

  - 在 Eclipse Jetty 版本 9.2.x 和更早版本、版本 9.3.x（所有配置）和版本 9.4.x（启用 RFC2616 合规的非默认配置） 中，系统对传输编码区块的处理欠妥。区块长度解析容易受到整数溢出漏洞的影响。因此，大区块大小可被解释为较小区块大小，作为区块正文发送的内容可被解释为管道请求。如果 Jetty 在施加某些授权的中介后面部署，并且该中介允许任意大型区块在未经更改的情况下传递，则此缺陷可被用于绕过中介施加的授权，这是因为该中介不会将假管道请求解释为请求。(CVE-2017-7657)

  - 在 Eclipse Jetty Server 9.2.x 及更旧版本、 9.3.x （所有非 HTTP/1.x 配置）和 9.4.x （所有 HTTP/1.x 配置）中，当提供两个 content-lengths 标头时，Jetty 会忽略第二个标头。当提供 content-length 和分块编码标头时，content-length 将被忽略（根据 RFC 2616）。如果中介决定使用长度较短的标头，但仍传递长度较长的正文，则 Jetty 可将正文内容解释为流水线请求。如果中介正在实施授权，伪造的流水线请求将绕过该授权。(CVE-2017-7658)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
111048	Fedora 27 : jetty (2018-93a507fd0f)	Nessus	Fedora Local Security Checks	2018/7/13	2024/9/5	critical
120388	Fedora 28 : jetty (2018-48b73ed393)	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/8	critical
111987	Debian DSA-4278-1 : jetty9 - security update	Nessus	Debian Local Security Checks	2018/8/20	2024/8/16	critical
199780	RHEL 6 : nutch (Unpatched Vulnerability)	Nessus	Red Hat Local Security Checks	2024/6/3	2024/6/3	critical
120388	Fedora 28：jetty（2018-48b73ed393）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/8	critical
111048	Fedora 27：jetty（2018-93a507fd0f）	Nessus	Fedora Local Security Checks	2018/7/13	2024/9/5	critical
111987	Debian DSA-4278-1：jetty - セキュリティ更新	Nessus	Debian Local Security Checks	2018/8/20	2024/8/16	critical
111987	Debian DSA-4278-1：jetty9 - 安全更新	Nessus	Debian Local Security Checks	2018/8/20	2024/8/16	critical
111987	Debian DSA-4278-1：jetty9 - 安全性更新	Nessus	Debian Local Security Checks	2018/8/20	2024/8/16	critical
159514	F5 Networks BIG-IP : Eclipse Jetty vulnerabilities (K10002140)	Nessus	F5 Networks Local Security Checks	2022/4/5	2024/5/7	critical
144306	JFrog < 7.11.1 Multiple Vulnerabilities	Nessus	Misc.	2020/12/16	2022/12/5	critical
144306	JFrog < 7.11.1の複数の脆弱性	Nessus	Misc.	2020/12/16	2022/12/5	critical
159514	F5 Networks BIG-IP : Eclipse Jetty の脆弱性 (K10002140)	Nessus	F5 Networks Local Security Checks	2022/4/5	2024/5/7	critical
144306	JFrog < 7.11.1 多個弱點	Nessus	Misc.	2020/12/16	2022/12/5	critical
159514	F5 Networks BIG-IP：Eclipse Jetty 弱點 (K10002140)	Nessus	F5 Networks Local Security Checks	2022/4/5	2024/5/7	critical
144306	JFrog < 7.11.1 多个漏洞	Nessus	Misc.	2020/12/16	2022/12/5	critical
159514	F5 Networks BIG-IP：Eclipse Jetty 漏洞 (K10002140)	Nessus	F5 Networks Local Security Checks	2022/4/5	2024/5/7	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical