crítica
CVE-2017-7658
jetty: Incorrect header handling
En la Trivy database desde, como mínimo, el 24 oct 2026, 07:11 UTCNo consta cuándo entró antes de ese build.
Severidad por fuente
NVD9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
GHSA9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Red Hat9.8CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
La etiqueta propia de Trivy es CRITICAL. Crítica según NVD, GHSA. Más baja según Red Hat (alta), Ubuntu (baja).
Descripción
In Eclipse Jetty Server, versions 9.2.x and older, 9.3.x (all non HTTP/1.x configurations), and 9.4.x (all HTTP/1.x configurations), when presented with two content-lengths headers, Jetty ignored the second. When presented with a content-length and a chunked encoding header, the content-length was ignored (as per RFC 2616). If an intermediary decided on the shorter length, but still passed on the longer body, then body content could be interpreted by Jetty as a pipelined request. If the intermediary was imposing authorization, the fake pipelined request would bypass that authorization.
Paquetes afectados y versiones corregidas
| Fuente | Paquete | Corregido en |
|---|---|---|
| maven::GitHub Security Advisory Maven | org.eclipse.jetty:jetty-server | 9.2.25.v20180606, 9.3.24.v20180605, 9.4.11.v20180605 |
| debian 11 | jetty9 | 9.2.25-1 |
| debian 12 | jetty9 | 9.2.25-1 |
| debian 13 | jetty9 | 9.2.25-1 |
| debian 14 | jetty9 | 9.2.25-1 |
| debian 8 | jetty, jetty8 | sin corrección indicada |
| debian 9 | jetty9 | 9.2.21-1+deb9u1 |
| echo | jetty9 | 9.2.25-1 |
| Red Hat | jetty-annotations, jetty-ant, jetty-client y 70 más | sin corrección indicada |
| ubuntu 18.04-ESM | jetty9 | sin corrección indicada |
Mostrar las 83 entradas de 10 fuentes
| Fuente | Paquete | Corregido en |
|---|---|---|
| maven::GitHub Security Advisory Maven | org.eclipse.jetty:jetty-server | 9.2.25.v20180606, 9.3.24.v20180605, 9.4.11.v20180605 |
| debian 11 | jetty9 | 9.2.25-1 |
| debian 12 | jetty9 | 9.2.25-1 |
| debian 13 | jetty9 | 9.2.25-1 |
| debian 14 | jetty9 | 9.2.25-1 |
| debian 8 | jetty | sin corrección indicada |
| debian 8 | jetty8 | sin corrección indicada |
| debian 9 | jetty9 | 9.2.21-1+deb9u1 |
| echo | jetty9 | 9.2.25-1 |
| Red Hat | jetty-annotations | sin corrección indicada |
| Red Hat | jetty-ant | sin corrección indicada |
| Red Hat | jetty-client | sin corrección indicada |
| Red Hat | jetty-continuation | sin corrección indicada |
| Red Hat | jetty-deploy | sin corrección indicada |
| Red Hat | jetty-eclipse | sin corrección indicada |
| Red Hat | jetty-http | sin corrección indicada |
| Red Hat | jetty-io | sin corrección indicada |
| Red Hat | jetty-jaas | sin corrección indicada |
| Red Hat | jetty-jaspi | sin corrección indicada |
| Red Hat | jetty-javadoc | sin corrección indicada |
| Red Hat | jetty-jmx | sin corrección indicada |
| Red Hat | jetty-jndi | sin corrección indicada |
| Red Hat | jetty-jsp | sin corrección indicada |
| Red Hat | jetty-jspc-maven-plugin | sin corrección indicada |
| Red Hat | jetty-maven-plugin | sin corrección indicada |
| Red Hat | jetty-monitor | sin corrección indicada |
| Red Hat | jetty-plus | sin corrección indicada |
| Red Hat | jetty-project | sin corrección indicada |
| Red Hat | jetty-proxy | sin corrección indicada |
| Red Hat | jetty-rewrite | sin corrección indicada |
| Red Hat | jetty-runner | sin corrección indicada |
| Red Hat | jetty-security | sin corrección indicada |
| Red Hat | jetty-server | sin corrección indicada |
| Red Hat | jetty-servlet | sin corrección indicada |
| Red Hat | jetty-servlets | sin corrección indicada |
| Red Hat | jetty-start | sin corrección indicada |
| Red Hat | jetty-util | sin corrección indicada |
| Red Hat | jetty-util-ajax | sin corrección indicada |
| Red Hat | jetty-webapp | sin corrección indicada |
| Red Hat | jetty-websocket-api | sin corrección indicada |
| Red Hat | jetty-websocket-client | sin corrección indicada |
| Red Hat | jetty-websocket-common | sin corrección indicada |
| Red Hat | jetty-websocket-parent | sin corrección indicada |
| Red Hat | jetty-websocket-server | sin corrección indicada |
| Red Hat | jetty-websocket-servlet | sin corrección indicada |
| Red Hat | jetty-xml | sin corrección indicada |
| Red Hat | rh-java-common-jetty-annotations | sin corrección indicada |
| Red Hat | rh-java-common-jetty-ant | sin corrección indicada |
| Red Hat | rh-java-common-jetty-client | sin corrección indicada |
| Red Hat | rh-java-common-jetty-continuation | sin corrección indicada |
| Red Hat | rh-java-common-jetty-deploy | sin corrección indicada |
| Red Hat | rh-java-common-jetty-http | sin corrección indicada |
| Red Hat | rh-java-common-jetty-io | sin corrección indicada |
| Red Hat | rh-java-common-jetty-jaas | sin corrección indicada |
| Red Hat | rh-java-common-jetty-jaspi | sin corrección indicada |
| Red Hat | rh-java-common-jetty-javadoc | sin corrección indicada |
| Red Hat | rh-java-common-jetty-jmx | sin corrección indicada |
| Red Hat | rh-java-common-jetty-jndi | sin corrección indicada |
| Red Hat | rh-java-common-jetty-jsp | sin corrección indicada |
| Red Hat | rh-java-common-jetty-jspc-maven-plugin | sin corrección indicada |
| Red Hat | rh-java-common-jetty-maven-plugin | sin corrección indicada |
| Red Hat | rh-java-common-jetty-monitor | sin corrección indicada |
| Red Hat | rh-java-common-jetty-plus | sin corrección indicada |
| Red Hat | rh-java-common-jetty-project | sin corrección indicada |
| Red Hat | rh-java-common-jetty-proxy | sin corrección indicada |
| Red Hat | rh-java-common-jetty-rewrite | sin corrección indicada |
| Red Hat | rh-java-common-jetty-runner | sin corrección indicada |
| Red Hat | rh-java-common-jetty-security | sin corrección indicada |
| Red Hat | rh-java-common-jetty-server | sin corrección indicada |
| Red Hat | rh-java-common-jetty-servlet | sin corrección indicada |
| Red Hat | rh-java-common-jetty-servlets | sin corrección indicada |
| Red Hat | rh-java-common-jetty-start | sin corrección indicada |
| Red Hat | rh-java-common-jetty-util | sin corrección indicada |
| Red Hat | rh-java-common-jetty-util-ajax | sin corrección indicada |
| Red Hat | rh-java-common-jetty-webapp | sin corrección indicada |
| Red Hat | rh-java-common-jetty-websocket-api | sin corrección indicada |
| Red Hat | rh-java-common-jetty-websocket-client | sin corrección indicada |
| Red Hat | rh-java-common-jetty-websocket-common | sin corrección indicada |
| Red Hat | rh-java-common-jetty-websocket-parent | sin corrección indicada |
| Red Hat | rh-java-common-jetty-websocket-server | sin corrección indicada |
| Red Hat | rh-java-common-jetty-websocket-servlet | sin corrección indicada |
| Red Hat | rh-java-common-jetty-xml | sin corrección indicada |
| ubuntu 18.04-ESM | jetty9 | sin corrección indicada |
Referencias
- http://www.securityfocus.com/bid/106566
- http://www.securitytracker.com/id/1041194
- https://access.redhat.com/security/cve/CVE-2017-7658
- https://bugs.eclipse.org/bugs/show_bug.cgi?id=535669
- https://github.com/advisories/GHSA-6x9x-8qw9-9pp6
- https://lists.apache.org/thread.html/053d9ce4d579b02203db18545fee5e33f35f2932885459b74d1e4272@%3Cissues.activemq.apache.org%3E
- https://lists.apache.org/thread.html/708d94141126eac03011144a971a6411fcac16d9c248d1d535a39451@%3Csolr-user.lucene.apache.org%3E
- https://lists.apache.org/thread.html/9317fd092b257a0815434b116a8af8daea6e920b6673f4fd5583d5fe@%3Ccommits.druid.apache.org%3E
Las 22 referencias
- https://lists.apache.org/thread.html/r1b103833cb5bc8466e24ff0ecc5e75b45a705334ab6a444e64e840a0@%3Cissues.bookkeeper.apache.org%3E
- https://lists.apache.org/thread.html/r41af10c4adec8d34a969abeb07fd0d6ad0c86768b751464f1cdd23e8@%3Ccommits.druid.apache.org%3E
- https://lists.apache.org/thread.html/r9159c9e7ec9eac1613da2dbaddbc15691a13d4dbb2c8be974f42e6ae@%3Ccommits.druid.apache.org%3E
- https://lists.apache.org/thread.html/ra6f956ed4ec2855583b2d0c8b4802b450f593d37b77509b48cd5d574@%3Ccommits.druid.apache.org%3E
- https://nvd.nist.gov/vuln/detail/CVE-2017-7658
- https://security.netapp.com/advisory/ntap-20181014-0001
- https://security.netapp.com/advisory/ntap-20181014-0001/
- https://support.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbst03953en_us
- https://www.cve.org/CVERecord?id=CVE-2017-7658
- https://www.debian.org/security/2018/dsa-4278
- https://www.oracle.com//security-alerts/cpujul2021.html
- https://www.oracle.com/security-alerts/cpuoct2020.html
- https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html
- https://www.oracle.com/technetwork/security-advisory/cpuoct2019-5072832.html