In Eclipse Jetty 7.2.2 to 9.4.38, 10.0.0.alpha0 to 10.0.1, and 11.0.0.alpha0 to 11.0.1, CPU usage can reach 100% upon receiving a large inva

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• eclipse jetty7.2.2 ve sonrası · 9.4.39 öncesi
• eclipse jetty10.0.0 ve sonrası · 10.0.2 öncesi
• eclipse jetty11.0.0 ve sonrası · 11.0.2 öncesi
• jenkins jenkins2.286 öncesi
• jenkins jenkins2.277.3 öncesi
• netapp cloud manager3.9.8 öncesi
• netapp e-series performance analyzer3.0 öncesi
• netapp e-series santricity os controller11.0.0 ve sonrası · 11.70.1 öncesi
• netapp e-series santricity storage1.10 öncesi
• netapp e-series santricity web services5.1 öncesi
• netapp ontap tools9.10 öncesi
• netapp santricity cloud connectortüm sürümler
• netapp santricity web services proxy5.1 öncesi
• netapp snapcenter4.6 öncesi
• netapp storage replication adapter for clustered data ontap9.10 öncesi
• netapp vasa provider for clustered data ontap9.10 öncesi
• oracle autovue for agile product lifecycle management21.0.2
• oracle communications cloud native core policy1.14.0
• oracle communications element manager8.2.2
• oracle communications services gatekeeper7.0

Üreticinin bildirdiği sürümler

Kaydı açan otorite (eclipse) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• The Eclipse Foundation Eclipse Jetty

  • 7.2.2 ve sonrası · unspecified öncesietkilenir
  • unspecified ve sonrası · 9.4.38 dahil öncesietkilenir
  • 10.0.0.alpha0 ve sonrası · unspecified öncesietkilenir
  • unspecified ve sonrası · 10.0.1 dahil öncesietkilenir
  • 11.0.0.alpha0 ve sonrası · unspecified öncesietkilenir
  • unspecified ve sonrası · 11.0.1 dahil öncesietkilenir

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2015-2080The exception handling code in Eclipse Jetty before 9.2.9.v20150224 allows remote attackers to obtain sensitive information from process mem
  53Planlayın
• CVE-2021-34429For Eclipse Jetty versions 9.4.37-9.4.42, 10.0.1-10.0.5 & 11.0.1-11.0.5, URIs can be crafted using some encoded characters to access the con
  51Planlayın
• CVE-2021-28164In Eclipse Jetty 9.4.37.v20210219 to 9.4.38.v20210224, the default compliance mode allows requests with URIs that contain %2e or %2e%2e segm
  46Planlayın
• CVE-2021-28169For Eclipse Jetty versions <= 9.4.40, <= 10.0.2, <= 11.0.2, it is possible for requests to the ConcatServlet with a doubly encoded path to a
  45Planlayın
• CVE-2017-7658In Eclipse Jetty Server, versions 9.2.x and older, 9.3.x (all non HTTP/1.x configurations), and 9.4.x (all HTTP/1.x configurations), when pr
  45Planlayın
• CVE-2020-27223In Eclipse Jetty 9.4.6.v20170531 to 9.4.36.v20210114 (inclusive), 10.0.0, and 11.0.0 when Jetty handles a request containing multiple Accept
  44Planlayın

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

İç içe yapıları çözümleyen kod derinlik ya da boyut sınırı koymuyor. Küçük bir girdi orantısız işlem yüküne dönüşebilir.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("çok derin");4  return node.children.map((c) => expand(c, depth + 1));5}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.