The Dump Servlet in Mort Bay Jetty 6.x and 7.0.0 allows remote attackers to obtain sensitive information about internal variables and other

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• mortbay jetty6.0.0
• mortbay jetty6.0.1
• mortbay jetty6.0.2
• mortbay jetty6.1.0
• mortbay jetty6.1.1
• mortbay jetty6.1.10
• mortbay jetty6.1.11
• mortbay jetty6.1.12
• mortbay jetty6.1.14
• mortbay jetty6.1.15
• mortbay jetty6.1.16
• mortbay jetty6.1.19
• mortbay jetty6.1.2
• mortbay jetty6.1.20
• mortbay jetty6.1.3
• mortbay jetty6.1.4
• mortbay jetty6.1.5
• mortbay jetty6.1.6
• mortbay jetty6.1.7
• mortbay jetty6.1.8

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2009-4611Mort Bay Jetty 6.x through 6.1.22 and 7.0.0 writes backtrace data without sanitizing non-printable characters, which might allow remote atta
  31Наблюдать
• CVE-2009-1523Directory traversal vulnerability in the HTTP server in Mort Bay Jetty 5.1.14, 6.x before 6.1.17, and 7.x through 7.0.0.M2 allows remote att
  28Наблюдать
• CVE-2009-5049WebApp JSP Snoop page XSS in jetty though 6.1.21.
  24Наблюдать
• CVE-2009-5048Cookie Dump Servlet stored XSS vulnerability in jetty though 6.1.20.
  24Наблюдать
• CVE-2005-3747Unspecified vulnerability in Jetty before 5.1.6 allows remote attackers to obtain source code of JSP pages, possibly involving requests for
  21Наблюдать
• CVE-2009-4612Multiple cross-site scripting (XSS) vulnerabilities in the WebApp JSP Snoop page in Mort Bay Jetty 6.1.x through 6.1.21 allow remote attacke
  18Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.