MadeYouReset HTTP/2 vulnerability
In Eclipse Jetty, versions <=9.4.57, <=10.0.25, <=11.0.25, <=12.0.21, <=12.1.0.alpha2, an HTTP/2 client may trigger the server to send RST_STREAM frames, for example by sending frames that are malformed or that should not be sent in a particular stream state, therefore forcing the server to consume resources such as CPU and memory. For example, a client can open a stream and then send WINDOW_UPDATE frames with window size increment of 0, which is illegal. Per specification https://www.rfc-editor.org/rfc/rfc9113.html#name-window_update , the server should send a RST_STREAM frame. The client can now open another stream and send another bad WINDOW_UPDATE, therefore causing the server to consume more resources than necessary, as this case does not exceed the max number of concurrent streams, yet the client is able to create an enormous amount of streams in a short period of time. The attack can be performed with other conditions (for example, a DATA frame for a closed stream) that cause the server to send a RST_STREAM frame. Links: * https://github.com/jetty/jetty.project/security/advisories/GHSA-mmxm-8w33-wc4h
- Опубликовано
- 20 авг. 2025 г.
- Обновлено
- 17 июн. 2026 г.
- EPSS
- 3,6 % · 89-й процентиль
- CWE
- CWE-400
Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.
Инструменты для отчёта
Оценка срочности
31
Наблюдать
Пока низкий приоритет.
- CVSS
- 30 / 40 · 7.7 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 1 / 30 · 3,6 %
Решение CISA SSVC
- Эксплуатация
- нет
- Автоматизируемо
- да
- Техническое влияние
- частичное
Vulnrichment: входные данные дерева решений CISA.
Оценка CNA и NVD
- NVD
- —
- CNA · eclipse
- 7,7
- NVD ещё не выставил свою оценку; показана оценка CNA.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:H
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Анализ Noroxi
Анализа Noroxi для этой записи пока нет
Мы не пишем анализ вручную для сотен тысяч уязвимостей в базе; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.
Мы используем этот продукт, нужна помощьЗатронутые системы
| Вендор | Продукт | CPE |
|---|---|---|
| eclipse | jetty | cpe:2.3:a:eclipse:jetty |
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- eclipse jetty9.3.0 и новее · до 9.4.57 включительно
- eclipse jetty10.0.0 и новее · до 10.0.25 включительно
- eclipse jetty11.0.0 и новее · до 11.0.25 включительно
- eclipse jetty12.0.0 и новее · до 12.0.21 включительно
- eclipse jetty12.1.0
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (eclipse). Не зависят от анализа CPE в NVD и обычно опережают его.
Eclipse Jetty Eclipse Jetty
- >=9.3.0 и новее · до <=9.4.57 включительнозатронута · semver
- >=10.0.0 и новее · до <=10.0.25 включительнозатронута · semver
- >=11.0.0 и новее · до <=11.0.25 включительнозатронута · semver
- >=12.0.0 и новее · до <=12.0.21 включительнозатронута · semver
- >=12.1.0.alpha0 и новее · до <=12.1.0.alpha2 включительнозатронута · semver
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Debian:11 | jetty9 | до 9.4.57-0+deb11u3 | 9.4.57-0+deb11u3 |
| Debian:12 | jetty9 | до 9.4.57-1.1~deb12u1 | 9.4.57-1.1~deb12u1 |
| Debian:13 | jetty12 | до 12.0.17-3.1~deb13u1 | 12.0.17-3.1~deb13u1 |
| Debian:13 | jetty9 | до 9.4.57-1.1~deb13u1 | 9.4.57-1.1~deb13u1 |
| Debian:14 | jetty12 | до 12.0.17-3.1 | 12.0.17-3.1 |
| Debian:14 | jetty9 | до 9.4.57-1.1 | 9.4.57-1.1 |
| Maven | org.eclipse.jetty.http2:http2-common | с 10.0.0 · до 10.0.26 | 10.0.26 |
| Maven | org.eclipse.jetty.http2:http2-common | с 11.0.0 · до 11.0.26 | 11.0.26 |
| Maven | org.eclipse.jetty.http2:http2-common | с 9.3.0 · до 9.4.58 | 9.4.58 |
| Maven | org.eclipse.jetty.http2:jetty-http2-common | с 12.0.0 · до 12.0.25 | 12.0.25 |
| Maven | org.eclipse.jetty.http2:jetty-http2-common | с 12.1.0.alpha0 · до 12.1.0.beta3 | 12.1.0.beta3 |
| openSUSE:Leap 15.6 | jetty-websocket | до 9.4.58-150200.3.34.1 | 9.4.58-150200.3.34.1 |
| openSUSE:Tumbleweed | jetty-minimal | до 9.4.58-1.1 | 9.4.58-1.1 |
| Red Hat:ocp_tools:4.12::el8 | jenkins | до 0:2.516.3.1758299374-3.el8 | 0:2.516.3.1758299374-3.el8 |
| Red Hat:ocp_tools:4.12::el8 | jenkins-2-plugins | до 0:4.12.1758299735-1.el8 | 0:4.12.1758299735-1.el8 |
| Red Hat:ocp_tools:4.13::el8 | jenkins | до 0:2.516.3.1758298953-3.el8 | 0:2.516.3.1758298953-3.el8 |
| Red Hat:ocp_tools:4.13::el8 | jenkins-2-plugins | до 0:4.13.1758299004-1.el8 | 0:4.13.1758299004-1.el8 |
| Red Hat:ocp_tools:4.14::el8 | jenkins | до 0:2.516.3.1758302106-3.el8 | 0:2.516.3.1758302106-3.el8 |
| Red Hat:ocp_tools:4.14::el8 | jenkins-2-plugins | до 0:4.14.1758302383-1.el8 | 0:4.14.1758302383-1.el8 |
| Red Hat:ocp_tools:4.15::el8 | jenkins | до 0:2.516.3.1758302665-3.el8 | 0:2.516.3.1758302665-3.el8 |
| Red Hat:ocp_tools:4.15::el8 | jenkins-2-plugins | до 0:4.15.1758303157-1.el8 | 0:4.15.1758303157-1.el8 |
| Red Hat:ocp_tools:4.16::el9 | jenkins | до 0:2.516.3.1758336945-3.el9 | 0:2.516.3.1758336945-3.el9 |
| Red Hat:ocp_tools:4.16::el9 | jenkins-2-plugins | до 0:4.16.1758337173-1.el9 | 0:4.16.1758337173-1.el9 |
| Red Hat:ocp_tools:4.17::el9 | jenkins | до 0:2.516.3.1758259817-3.el9 | 0:2.516.3.1758259817-3.el9 |
+7
Тот же продукт
eclipse: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2015-2080The exception handling code in Eclipse Jetty before 9.2.9.v20150224 allows remote attackers to obtain sensitive information from process mem53В плане
- CVE-2021-34429For Eclipse Jetty versions 9.4.37-9.4.42, 10.0.1-10.0.5 & 11.0.1-11.0.5, URIs can be crafted using some encoded characters to access the con51В плане
- CVE-2021-28165In Eclipse Jetty 7.2.2 to 9.4.38, 10.0.0.alpha0 to 10.0.1, and 11.0.0.alpha0 to 11.0.1, CPU usage can reach 100% upon receiving a large inva46В плане
- CVE-2021-28164In Eclipse Jetty 9.4.37.v20210219 to 9.4.38.v20210224, the default compliance mode allows requests with URIs that contain %2e or %2e%2e segm46В плане
- CVE-2021-28169For Eclipse Jetty versions <= 9.4.40, <= 10.0.2, <= 11.0.2, it is possible for requests to the ConcatServlet with a doubly encoded path to a45В плане
- CVE-2017-7658In Eclipse Jetty Server, versions 9.2.x and older, 9.3.x (all non HTTP/1.x configurations), and 9.4.x (all HTTP/1.x configurations), when pr45В плане
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| debian:jetty12 | 12.0.17-3.1~deb13u1 · Debian:13 | Реестр пакетов (OSV) |
| debian:jetty9 | 9.4.57-1.1~deb12u1 · Debian:12 | Реестр пакетов (OSV) |
| Maven:org.eclipse.jetty.http2:http2-common | 10.0.26 | Реестр пакетов (OSV) |
| Maven:org.eclipse.jetty.http2:http2-common | 11.0.26 | Реестр пакетов (OSV) |
| Maven:org.eclipse.jetty.http2:http2-common | 9.4.58 | Реестр пакетов (OSV) |
| Maven:org.eclipse.jetty.http2:jetty-http2-common | 12.0.25 | Реестр пакетов (OSV) |
| Maven:org.eclipse.jetty.http2:jetty-http2-common | 12.1.0.beta3 | Реестр пакетов (OSV) |
| opensuse:jetty-minimal | 9.4.58-150200.3.34.1 · openSUSE:Leap 15.6 | Реестр пакетов (OSV) |
| opensuse:jetty-websocket | 9.4.58-150200.3.34.1 · openSUSE:Leap 15.6 | Реестр пакетов (OSV) |
| red hat:jenkins | 0:2.516.3.1758206866-3.el9 · Red Hat:ocp_tools:4.19::el9 | Реестр пакетов (OSV) |
| red hat:jenkins-2-plugins | 0:4.19.1758207171-1.el9 · Red Hat:ocp_tools:4.19::el9 | Реестр пакетов (OSV) |
| suse:jetty-minimal | 9.4.58-150200.3.34.1 · SUSE:Linux Enterprise Module for Development Tools 15 SP6 | Реестр пакетов (OSV) |
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
- CVE-2025-1948с разницей 104 дн.Eclipse Jetty HTTP clients can increase memory allocation30Наблюдать
- CVE-2026-1605с разницей 197 дн.In Eclipse Jetty, versions 12.0.0-12.0.31 and 12.1.0-12.0.5, class GzipHandler exposes a vulnerability when a compressed HTTP request, with 30Наблюдать
- CVE-2024-9823с разницей 310 дн.Jetty DOS vulnerability on DosFilter30Наблюдать
- CVE-2024-7708с разницей 328 дн.For requests that have a body, but reading the body may end up in reading 0 bytes, there is a buffer leak.30Наблюдать
- CVE-2024-6762с разницей 310 дн.Jetty PushSessionCacheFilter can cause remote DoS attacks26Наблюдать
- CVE-2024-8184с разницей 310 дн.Jetty ThreadLimitHandler.getRemote() vulnerable to remote DoS attacks26Наблюдать
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- Целостность
- Доступность
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- X
Класс уязвимости (CWE)
CWE-400 · Uncontrolled Resource ConsumptionВектор CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
nvd-secondary
Первопричина
Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.
Ошибка в коде
Весь класс CWE-400Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.
Уязвимый код
function expand(node) { return node.children.map(expand);}Исправленный код
const MAX_DEPTH = 32;function expand(node, depth = 0) { if (depth > MAX_DEPTH) throw new Error("слишком глубоко"); return node.children.map((c) => expand(c, depth + 1));}Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
- github.com/jetty/jetty.project/pull/13449
- github.com/jetty/jetty.project/releases/tag/jetty-10.0.26
- github.com/jetty/jetty.project/releases/tag/jetty-11.0.26
- github.com/jetty/jetty.project/releases/tag/jetty-12.0.25
- github.com/jetty/jetty.project/releases/tag/jetty-12.1.0
- github.com/jetty/jetty.project/releases/tag/jetty-9.4.58.v20250814
- github.com/jetty/jetty.project/security/advisories/GHSA-mmxm-8w33-wc4h
- www.openwall.com/lists/oss-security/2025/08/20/4
- www.openwall.com/lists/oss-security/2025/09/17/1
- lists.debian.org/debian-lts-announce/2025/09/msg00014.html
- www.kb.cert.org/vuls/id/767506
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.