CVE-2020-27223: In Eclipse Jetty 9.4.6.v20170531 to 9.4.36.v20210114 (inclusive), 10.0.0, and 11.0.0 when Jetty handles a request containing multiple Accept
Оценка Noroxi
Приоритет: В плане (оценка срочности 44/100)
- Есть публичный код proof-of-concept (GitHub); записей об эксплуатации в реальных атаках нет.
- Вероятность эксплуатации в ближайшие 30 дней: 78% (FIRST EPSS); выше, чем у 99,5% записей.
- Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- Исправленная версия: jetty9 (Debian:10) 9.4.16-0+deb10u1; jetty9 (Debian:12) 9.4.38-1; org.eclipse.jetty:jetty-server (Maven) 10.0.1, 11.0.1, 9.4.37.
- Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 3.
Включите в обычный цикл установки исправлений. Обновитесь до jetty9 (Debian:10) 9.4.16-0+deb10u1; jetty9 (Debian:12) 9.4.38-1; org.eclipse.jetty:jetty-server (Maven) 10.0.1, 11.0.1, 9.4.37 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
In Eclipse Jetty 9.4.6.v20170531 to 9.4.36.v20210114 (inclusive), 10.0.0, and 11.0.0 when Jetty handles a request containing multiple Accept headers with a large number of “quality” (i.e. q) parameters, the server may enter a denial of service (DoS) state due to high CPU usage processing those quality values, resulting in minutes of CPU time exhausted processing those quality values.
- Опубликовано
- 26 февр. 2021 г.
- Обновлено
- 16 июн. 2026 г.
- EPSS
- 78,0 % · 99-й процентиль
- CWE
- CWE-407
Инструменты для отчёта
Оценка срочности
44
В плане
Включите в обычный цикл установки исправлений.
- CVSS
- 21 / 40 · 5.3 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 23 / 30 · 78,0 %
Оценка CNA и NVD
- NVD
- 5,3
- CNA · eclipse
- 5,2
- разница 0,1 балла
CVSS:3.1/AV:A/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Есть PoC, боевого модуля нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| eclipse | jetty | cpe:2.3:a:eclipse:jetty |
| apache | nifi | cpe:2.3:a:apache:nifi |
| apache | spark | cpe:2.3:a:apache:spark |
| netapp | e-series santricity os controller | cpe:2.3:a:netapp:e-series_santricity_os_controller |
| netapp | e-series santricity web services | cpe:2.3:a:netapp:e-series_santricity_web_services |
| netapp | element plug-in for vcenter server | cpe:2.3:a:netapp:element_plug-in_for_vcenter_server |
| netapp | hci | cpe:2.3:a:netapp:hci |
| netapp | hci management node | cpe:2.3:a:netapp:hci_management_node |
| netapp | management services for element software | cpe:2.3:a:netapp:management_services_for_element_software |
| netapp | snap creator framework | cpe:2.3:a:netapp:snap_creator_framework |
| netapp | snapcenter | cpe:2.3:a:netapp:snapcenter |
| netapp | snapmanager | cpe:2.3:a:netapp:snapmanager |
и ещё 4
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- apache nifi1.13.0
- apache solr8.8.1
- apache spark3.1.1
- debian debian linux10.0
- eclipse jetty9.4.7 и новее · до 9.4.36
- eclipse jetty10.0.0
- eclipse jetty11.0.0
- eclipse jetty9.4.36
- eclipse jetty9.4.6
- netapp e-series santricity os controller11.0.0 и новее · до 11.70.1 включительно
- netapp e-series santricity web servicesвсе версии
- netapp element plug-in for vcenter serverвсе версии
- netapp hciвсе версии
- netapp hci management nodeвсе версии
- netapp management services for element softwareвсе версии
- netapp snap creator frameworkвсе версии
- netapp snapcenterвсе версии
- netapp snapmanagerвсе версии
- netapp solidfireвсе версии
- oracle rest data servicesдо 20.4.3.050.1904
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (eclipse). Не зависят от анализа CPE в NVD и обычно опережают его.
The Eclipse Foundation Eclipse Jetty
- 10.0.0, 11.0.0затронута
- 9.4.6.v20170531 и новее · до unspecifiedзатронута
- unspecified и новее · до 9.4.36.v20210114 включительнозатронута
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Debian:10 | jetty9 | до 9.4.16-0+deb10u1 | 9.4.16-0+deb10u1 |
| Debian:12 | jetty9 | до 9.4.38-1 | 9.4.38-1 |
| Maven | org.eclipse.jetty:jetty-server | с 10.0.0 · до 10.0.1 | 10.0.1 |
| Maven | org.eclipse.jetty:jetty-server | с 11.0.0 · до 11.0.1 | 11.0.1 |
| Maven | org.eclipse.jetty:jetty-server | с 9.4.6 · до 9.4.37 | 9.4.37 |
| Red Hat:openshift:3.11::el7 | jenkins | до 0:2.289.1.1624365627-1.el7 | 0:2.289.1.1624365627-1.el7 |
| Red Hat:openshift:3.11::el7 | jenkins-2-plugins | до 0:3.11.1624366838-1.el7 | 0:3.11.1624366838-1.el7 |
| Red Hat:openshift:4.5::el7 | jenkins | до 0:2.277.3.1623846768-1.el7 | 0:2.277.3.1623846768-1.el7 |
| Red Hat:openshift:4.5::el7 | jenkins-2-plugins | до 0:4.5.1623326336-1.el7 | 0:4.5.1623326336-1.el7 |
| Red Hat:openshift:4.6::el8 | jenkins | до 0:2.277.3.1623853726-1.el8 | 0:2.277.3.1623853726-1.el8 |
| SUSE:Linux Enterprise Module for Development Tools 15 SP2 | jetty-minimal | до 9.4.38-3.6.2 | 9.4.38-3.6.2 |
Тот же продукт
eclipse: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2021-34429For Eclipse Jetty versions 9.4.37-9.4.42, 10.0.1-10.0.5 & 11.0.1-11.0.5, URIs can be crafted using some encoded characters to access the con60На этой неделе
- CVE-2021-28164In Eclipse Jetty 9.4.37.v20210219 to 9.4.38.v20210224, the default compliance mode allows requests with URIs that contain %2e or %2e%2e segm60На этой неделе
- CVE-2015-2080The exception handling code in Eclipse Jetty before 9.2.9.v20150224 allows remote attackers to obtain sensitive information from process mem53В плане
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2020-2721623 окт. 2020 г. · In Eclipse Jetty versions 1.0 thru 9.4.32.v20200930, 10.0.0.alpha1 thru 10.0.0.beta2, and 11.0.0.alpha1 thru 11.0.0.beta2O, on Unix like sys29Наблюдать
- ← РаньшеCVE-2020-2721827 нояб. 2020 г. · In Eclipse Jetty version 9.4.0.RC0 to 9.4.34.v20201102, 10.0.0.alpha0 to 10.0.0.beta2, and 11.0.0.alpha0 to 11.0.0.beta2, if GZIP request bo21Наблюдать
- Позже →CVE-2021-281631 апр. 2021 г. · In Eclipse Jetty 9.4.32 to 9.4.38, 10.0.0.beta2 to 10.0.1, and 11.0.0.beta2 to 11.0.1, if a user uses a webapps directory that is a symlink,11Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| debian:jetty9 | 9.4.38-1 · Debian:12 | Реестр пакетов (OSV) |
| Maven:org.eclipse.jetty:jetty-server | 10.0.1 | Реестр пакетов (OSV) |
| Maven:org.eclipse.jetty:jetty-server | 11.0.1 | Реестр пакетов (OSV) |
| Maven:org.eclipse.jetty:jetty-server | 9.4.37 | Реестр пакетов (OSV) |
| red hat:jenkins | 0:2.277.3.1623846768-1.el7 · Red Hat:openshift:4.5::el7 | Реестр пакетов (OSV) |
| red hat:jenkins-2-plugins | 0:4.5.1623326336-1.el7 · Red Hat:openshift:4.5::el7 | Реестр пакетов (OSV) |
| suse:jetty-minimal | 9.4.38-3.6.2 · SUSE:Linux Enterprise Module for Development Tools 15 SP2 | Реестр пакетов (OSV) |
Статус эксплойта
Есть proof of concept
Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.
Доказательство
- Репозиторий PoC на GitHub ×2
Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.
| Источник | Тип | Дата |
|---|---|---|
| Репозиторий PoC на GitHub | stars:3 | 2021-03-19 |
| Репозиторий PoC на GitHub | stars:0 | 2021-08-18 |
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Публикация
- Первый PoC+20 дн.
- Сегодня29 окт. 2026 г.+2071 дн.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
Ночной расчёт связей ничего не нашёл.
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-21-0661 · 19 авг. 2021 г.(RedHat Güvenlik Güncellemesi Yayınladı)
- TR-21-0533 · 30 июн. 2021 г.(IBM Güvenlik Bülteni Yayınladı)
- TR-21-0331 · 21 апр. 2021 г.(Oracle Güvenlik Uyarısı Yayınladı)
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- нет
- Целостность
- нет
- Доступность
- низкое · работа сервиса может быть нарушена
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Нет
- Влияние на целостность
- Нет
- Влияние на доступность
- Низкое
Класс уязвимости (CWE)
CWE-407 · Inefficient Algorithmic ComplexityВектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 19)Свернуть
- github.com/eclipse/jetty.project/security/advisories/GHSA-m394-8rww-3jr7
- github.com/jetty/jetty.project/commit/10e531756b972162eed402c44d0244f7f6b85131
- lists.apache.org/thread.html/r068dfd35ce2193f6af28b74ff29ab148c2b2cacb235995576f5bea78%40%3Cissues.solr.apache.org%3E
- lists.apache.org/thread.html/r07aedcb1ece62969c406cb84c8f0e22cec7e42cdc272f3176e473320%40%3Cusers.solr.apache.org%3E
- lists.apache.org/thread.html/r0b639bd9bfaea265022125d18acd2fc6456044b76609ec74772c9567%40%3Cissues.zookeeper.apache.org%3E
- lists.apache.org/thread.html/r0c6eced465950743f3041b03767a32b2e98d19731bd72277fc7ea428%40%3Ccommits.zookeeper.apache.org%3E
- lists.apache.org/thread.html/r0cdab13815fc419805a332278c8d27e354e78560944fc36db0bdc760%40%3Cnotifications.zookeeper.apache.org%3E
- lists.apache.org/thread.html/r0e25cdf3722a24c53049d37396f0da8502cb4b7cdc481650dc601dbc%40%3Cgitbox.activemq.apache.org%3E
- lists.apache.org/thread.html/r105f4e52feb051faeb9141ef78f909aaf5129d6ed1fc52e099c79463%40%3Cissues.spark.apache.org%3E
- lists.apache.org/thread.html/r1414ab2b3f4bb4c0e736caff6dc8d15f93f6264f0cca5c47710d7bb3%40%3Creviews.spark.apache.org%3E
- lists.apache.org/thread.html/r1b7ed296a865e3f1337a96ee9cd51f6d154d881a30da36020ca72a4b%40%3Cjira.kafka.apache.org%3E
- lists.apache.org/thread.html/r1b803e6ebdac5f670708878fb1b27cd7a0ce9d774a60e797e58cee6f%40%3Cissues.nifi.apache.org%3E
- lists.apache.org/thread.html/r26d9196f4d2afb9bec2784bcb6fc183aca82e4119bf41bdc613eec01%40%3Cnotifications.zookeeper.apache.org%3E
- lists.apache.org/thread.html/r27ad7843d060762cc942820566eeaa9639f75371afedf8124b943283%40%3Cissues.spark.apache.org%3E
- lists.apache.org/thread.html/r2c2c7b2971360fb946bbf062c58d7245927dd1ce9150fc9987f65409%40%3Cjira.kafka.apache.org%3E
- lists.apache.org/thread.html/r2c947376491a20d1cf143bf3c21ed74113e099d806cfe4c490a45ad8%40%3Creviews.spark.apache.org%3E
- lists.apache.org/thread.html/r35ab810c0f3016b3fd3a3fa9088a2d2781b354a810780ce74d022b6c%40%3Cdev.kafka.apache.org%3E
- lists.apache.org/thread.html/r3ce0e31b25ad4ee8f7c42b62cfdc72d1b586f5d6accd23f5295b6dd1%40%3Cdev.kafka.apache.org%3E
- lists.apache.org/thread.html/r409ee2bae66bfff6aa89e6c74aff535e6248260d3afcb42bfb3b316b%40%3Cnotifications.zookeeper.apache.org%3E
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.