根據應用程式自我報告的版本號，遠端 Web 伺服器上託管的 Jetty 執行個體為 9.4.41 之前版本、10.0.3 之前的 10.0.x 版或 11.0.3 之前的 11.0.x 版。因此會受到多個弱點影響：

 - SessionListener#sessionDestroyed() 方法中發生例外狀況後，無法使工作階段失效。(CVE-2021-34428)

 - 以編碼路徑存取時，允許存取 WEB-INF 目錄內受保護的資源。(CVE-2021-28169)

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

因此，此版本會受到 ALAS2-2025-2855 公告中提及的一個弱點影響。

    針對 Eclipse Jetty <= 9.4.40、 <= 10.0.2、 <= 11.0.2版而言如果從 SessionListener#sessionDestroyed() 方法擲回例外狀況則工作階段 ID 不會在工作階段 ID 管理員中失效。在具有叢集工作階段和多個內容的部署中，這可導致工作階段一直有效。這可能導致共用電腦上使用的應用程式保持登入狀態。
    (CVE-2021-34428)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 IBM Cognos Analytics 版本低於 11.2.4 FP4 或 12.0.4。因此，該主機受到 7173592 公告中所提及的多個弱點影響。

  - formidable v3.1.4 中的任意檔案上傳弱點允許攻擊者透過偽造的檔案名稱來執行任意程式碼。請注意：有些第三方對於此問題存在爭議，因為在此產品的普通使用案例中，上傳任意檔案是需要的行為。另外，這些也是所有版本中能夠更改預設的檔案處理行為的設定選項。Strapi 認為這不是有效弱點。(CVE-2022-29622)

  - Node.js IP 套件允許遠端攻擊者在系統中執行任意程式碼，這是由 ip.isPublic() 函式中的伺服器端要求偽造缺陷造成。攻擊者可藉由傳送使用十六進位表示法的私有 IP 位址的特製要求，利用此弱點在系統中執行任意程式碼並取得敏感資訊。(CVE-2023-42282)   
  - 多個廠商的產品容易受到拒絕服務攻擊，原因是 HTTP/2 通訊協定在處理多路複用串流時會產生缺陷。遠端攻擊者可藉由在多個串流上傳送大量 HTTP/2 要求和 RST_STREAM 幀，利用此弱點來造成伺服器資源佔用，進而導致系統拒絕服務。(CVE-2023-44487)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7/8 主機上安裝的套件受到 RHSA-2021: 3758 公告中提及的漏洞影響。

  - jetty：對 ConcatServlet 和 WelcomeFilter 的要求能夠存取 WEB-INF 目錄中受保護的資源 (CVE-2021-28169)

  - golang：archive/zip：格式錯誤的封存可能會造成不穩定或記憶體耗盡 (CVE-2021-33196)

  - jetty：SessionListener 可防止工作階段失效中斷登出 (CVE-2021-34428)

  - openvswitch：解碼 RAW_ENCAP 動作時，decode_NXAST_RAW_ENCAP 中存在釋放後使用問題 (CVE-2021-36980)

  - coreos-installer：限制對 /boot/ignition{,/config.ign} 的存取權限 (CVE-2021-3917)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 對於 <= 9.4.40、 <= 10.0.2、 <= 11.0.2 的 Eclipse Jetty 版本，如果從 SessionListener#sessionDestroyed() 方法擲回例外狀況，則工作階段 ID 管理員中的工作階段 ID 不會失效。在具有叢集工作階段和多個內容的部署中，這可導致工作階段一直有效。這可能導致共用電腦上使用的應用程式保持登入狀態。
    (CVE-2021-34428)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 10 主機上安裝的多個套件受 dsa-4949 公告中提及的多個弱點影響。

  - 在 Eclipse Jetty 9.2.26 和更舊版本、 9.3.25 和更舊版本以及 9.4.15 和更舊版本中，如果遠程用戶端針對設定為顯示目錄內容列表的 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，則服務器很容易受到 XSS 條件的影響。(CVE-2019-10241)

  - 在 Eclipse Jetty 7.x、 8.x、 9.2.27 和更舊版本、 9.3.26 和更舊版本以及 9.4.16 和更舊版本中，在任何 OS 和 Jetty 版本組合上執行的伺服器都會在輸出中顯示已設定的完整目錄基礎資源位置未找到符合要求路徑的 404 錯誤。jetty-distribution 和 jetty-home 上的預設伺服器行為將在 Handler 樹狀結構結尾包含一個 DefaultHandler，其負責報告此 404 錯誤，它將各種設定的內容呈現為 HTML，供使用者按一下即可存取。此產生的 HTML 包含輸出，其中包含每個內容的已設定完整目錄基礎資源位置。
    (CVE-2019-10247)

  - 在 Eclipse Jetty 1.0 版至 9.4.32.v20200930 版、10.0.0.alpha1 版至 10.0.0.beta2 版和 11.0.0.alpha1 版至 11.0.0.beta2O 版中，在類似 Unix 的系統上，临时目录可以在该系统上的所有用户之间共享。並置使用者可觀察在共用暫存目錄中建立暫存子目錄的過程，並爭用以完成暫存子目錄的建立。如果攻擊者在爭用中獲勝，則他們將擁有用於解壓縮 Web 應用程式的子目錄 (包括其 WEB-INF/lib jar 檔案和 JSP 檔案) 的讀取和寫入權限。如果在此暫存目錄之外執行任何程式碼，可能會導致本機權限提升弱點。(CVE-2020-27216)

  - 在 Eclipse Jetty 9.4.6.v20170531 版至 9.4.36.v20210114 版(含此版本)、 10.0.0 版和 11.0.0 版中，當 Jetty 使用大量品質 (即 q) 參數處理含有多個 Accept 標頭的要求時，伺服器可能會進入由於處理這些品質值的高 CPU 使用率所導致的拒絕服務 (DoS) 狀態，進而導致處理這些品質值的 CPU 時間耗盡。(CVE-2020-27223)

  - Fluentd 2020-12-18 版之前的 td-agent-builder 外掛程式允許攻擊者取得權限，因為 bin 目錄可由使用者帳戶寫入，但 bin 中的檔案是以 NT AUTHORITY\SYSTEM 執行。
    (CVE-2020-28169)

  - 對於 <= 9.4.40、 <= 10.0.2、 <= 11.0.2 的 Eclipse Jetty 版本，如果從 SessionListener#sessionDestroyed() 方法擲回例外狀況，則工作階段 ID 管理員中的工作階段 ID 不會失效。在具有叢集工作階段和多個內容的部署中，這可導致工作階段一直有效。這可能導致共用電腦上使用的應用程式保持登入狀態。
    (CVE-2021-34428)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
112990	Jetty < 9.4.41 多個弱點	Web App Scanning	Component Vulnerability	2021/10/4	2023/3/14	medium
112991	Jetty 10.0.x < 10.0.3 多個弱點	Web App Scanning	Component Vulnerability	2021/10/4	2023/3/14	medium
112992	Jetty 11.0.x < 11.0.3 多個弱點	Web App Scanning	Component Vulnerability	2021/10/4	2023/3/14	medium
235888	Amazon Linux 2：jetty (ALAS-2025-2855)	Nessus	Amazon Linux Local Security Checks	2025/5/13	2025/5/13	low
213274	IBM Cognos Analytics 11.2.x < 11.2.4 FP4 / 12.0.x < 12.0.4 多個弱點 (7173592)	Nessus	CGI abuses	2024/12/20	2025/4/3	critical
165134	RHEL 7/8：OpenShift 容器平台 4.9.0 套件和 (RHSA-2021: 3758)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/11/7	medium
223932	Linux Distros 未修補弱點：CVE-2021-34428	Nessus	Misc.	2025/3/5	2025/9/2	low
152224	Debian DSA-4949-1：jetty9 - 安全性更新	Nessus	Debian Local Security Checks	2021/8/5	2023/12/6	critical

偵測

搜尋 Plugin

medium

medium

medium

low

critical

medium

low

critical