CVE-2023-40167
CVE-2023-40167 · Jetty accepts "+" prefixed value in Content-Length
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Jetty is a Java based web server and servlet engine. Prior to versions 9.4.52, 10.0.16, 11.0.16, and 12.0.1, Jetty accepts the `+` character proceeding the content-length value in a HTTP/1 header field. This is more permissive than allowed by the RFC and other servers routinely reject such requests with 400 responses. There is no known exploit scenario, but it is conceivable that request smuggling could result if jetty is used in combination with a server that does not close the connection after sending such a 400 response. Versions 9.4.52, 10.0.16, 11.0.16, and 12.0.1 contain a patch for this issue. There is no workaround as there is no known exploit scenario.
CVSS 5.3 · Mittel · EPSS 1,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
jetty.project
- Softwareversionen
- >= 9.0.0, <= 9.4.51: Betroffen
- >= 10.0.0, <= 10.0.15: Betroffen
- >= 11.0.0, <= 11.0.15: Betroffen
- = 12.0.0: Betroffen
Keine Korrektur veröffentlicht
jetty9 Debian:12
- Softwareversionen
- 9.4.50-4
- Betroffene Versionsbereiche
- ECOSYSTEM: < 9.4.50-4+deb12u1
Auf 9.4.50-4+deb12u1 aktualisieren
jetty9 Debian:13
- Betroffene Versionsbereiche
- ECOSYSTEM: < 9.4.52-1
Auf 9.4.52-1 aktualisieren
jetty9 Debian:14
- Betroffene Versionsbereiche
- ECOSYSTEM: < 9.4.52-1
Auf 9.4.52-1 aktualisieren
jetty9 Ubuntu:16.04:LTS
- Softwareversionen
- 9.2.14-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
jetty9 Ubuntu:18.04:LTS
- Softwareversionen
- 9.2.22-2
- 9.2.22-3
- 9.2.23-1
- 9.4.15-1~18.04.1ubuntu1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
jetty9 Ubuntu:20.04:LTS
- Softwareversionen
- 9.4.18-2build2
- 9.4.26-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
jetty9 Ubuntu:22.04:LTS
- Softwareversionen
- 9.4.39-3
- 9.4.44-2
- 9.4.44-3
- 9.4.44-4
- 9.4.45-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht