在 jetty (一個 Java servlet 引擎和 Webserver) 中發現數個弱點。攻擊者可能會向本機使用者洩漏密碼編譯認證 (如密碼)、洩漏安裝路徑、劫持使用者工作階段或竄改並置 Web 應用程式。

CVE-2017-9735

Jetty 容易受到 util/security/Password.java 中的計時通道弱點影響，遠端攻擊者可透過觀察拒絕錯誤密碼前的經過時間來輕易取得存取權。

CVE-2018-12536

在使用預設錯誤處理部署的 webapp 上，當發生與動態 url-pattern 不符且最終由 DefaultServlet 的靜態檔案服務處理的刻意錯誤查詢時，錯誤字元可觸發 java.nio.file.InvalidPathException，其中包含 DefaultServlet 和/或 webapp 所使用之基本資源目錄的完整路徑。如果此 InvalidPathException 之後由預設的錯誤處置程式處理，則錯誤回應中會包含 InvalidPathException 訊息，進而將完整的伺服器路徑顯示給提出要求的系統。

CVE-2019-10241

如果遠程用戶端針對設定為顯示目錄內容列表的 DefaultServlet 或 ResourceHandler 使用特殊格式的 URL，則服務器很容易受到 XSS 條件的影響。

CVE-2019-10247

在任何 OS 和 Jetty 版本組合上執行的伺服器都會在輸出中顯示已設定的完整目錄基礎資源位置未找到符合要求路徑的 404 錯誤。jetty-distribution 和 jetty-home 上的預設伺服器行為將在 Handler 樹狀結構結尾包含一個 DefaultHandler，其負責報告此 404 錯誤，它將各種設定的內容呈現為 HTML，供使用者按一下即可存取。此產生的 HTML 包含輸出，其中包含每個內容的已設定完整目錄基礎資源位置。

CVE-2020-27216

在類似 Unix 的系統上，系統的暫存目錄會在該系統上的所有使用者之間共用。並置使用者可觀察在共用暫存目錄中建立暫存子目錄的過程，並爭用以完成暫存子目錄的建立。如果攻擊者在爭用中獲勝，則他們將擁有用於解壓縮 Web 應用程式的子目錄 (包括其 WEB-INF/lib jar 檔案和 JSP 檔案) 的讀取和寫入權限。如果在此暫存目錄之外執行任何程式碼，可能會導致本機權限提升弱點。

此更新也包含其他數個錯誤修正和改良。
如需詳細資訊，請參閱上游變更記錄檔案。

針對 Debian 9 Stretch，已在 9.2.30-0+deb9u1 版本中修正這些問題。

建議您升級 jetty9 套件。

如需有關 jetty9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/jetty9

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2661-1：jetty9 安全性更新

high Nessus Plugin ID 149518

版本 1.7