p PatchFirst

CVE-2026-2332

CVE-2026-2332 · HTTP Request Smuggling via Chunked Extension Quoted-String Parsing

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Esta página muestra una selección de datos de las fuentes. Consulte los avisos enlazados para ver la descripción completa y las versiones afectadas.

In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to the "funky chunks" techniques outlined here: * https://w4ke.info/2025/06/18/funky-chunks.html * https://w4ke.info/2025/10/29/funky-chunks-2.html Jetty terminates chunk extension parsing at \r\n inside quoted strings instead of treating this as an error. POST / HTTP/1.1 Host: localhost Transfer-Encoding: chunked 1;ext="val X 0 GET /smuggled HTTP/1.1 ... Note how the chunk extension does not close the double quotes, and it is able to inject a smuggled request.

CVSS 7.4 · Alta · EPSS 1,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • eclipse jetty

    Versiones
    • ≥ 12.1.0, ≤ 12.1.6: Afectada (semver)
    • ≥ 12.0.0, ≤ 12.0.32: Afectada (semver)
    • ≥ 11.0.0, ≤ 11.0.28: Afectada (semver)
    • ≥ 10.0.0, ≤ 10.0.27: Afectada (semver)
    • ≥ 9.4.0, ≤ 9.4.59: Afectada (semver)

    Sin corrección publicada

  • jetty12 Debian:13

    Versiones
    • 12.0.17-3
    • 12.0.17-3.1
    • 12.0.17-3.1~deb13u1
    • 12.0.32-1
    • 12.0.32-2
    • 12.0.33-1
    • 12.0.39-1
    • 12.0.40-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty12 Debian:14

    Versiones
    • 12.0.17-3
    • 12.0.17-3.1
    • 12.0.17-3.1~deb13u1
    • 12.0.32-1
    • 12.0.32-2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 12.0.33-1

    Actualiza a 12.0.33-1

  • jetty9 Debian:12

    Versiones
    • 9.4.50-4
    • 9.4.50-4+deb12u1
    • 9.4.50-4+deb12u2
    • 9.4.50-4+deb12u3
    • 9.4.51-1
    • 9.4.51-2
    • 9.4.52-1
    • 9.4.53-1
    • 9.4.54-1
    • 9.4.55-1
    • 9.4.56-1
    • 9.4.57-0+deb12u1
    • 9.4.57-1
    • 9.4.57-1.1
    • 9.4.57-1.1~deb12u1
    • 9.4.57-1.1~deb13u1
    • 9.4.58-1
    • 9.4.58-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Debian:13

    Versiones
    • 9.4.57-1
    • 9.4.57-1.1
    • 9.4.57-1.1~deb12u1
    • 9.4.57-1.1~deb13u1
    • 9.4.58-1
    • 9.4.58-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Debian:14

    Versiones
    • 9.4.57-1
    • 9.4.57-1.1
    • 9.4.57-1.1~deb12u1
    • 9.4.57-1.1~deb13u1
    • 9.4.58-1
    • 9.4.58-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Ubuntu:16.04:LTS

    Versiones
    • 9.2.14-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Ubuntu:18.04:LTS

    Versiones
    • 9.2.22-2
    • 9.2.22-3
    • 9.2.23-1
    • 9.4.15-1~18.04.1ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Ubuntu:20.04:LTS

    Versiones
    • 9.4.18-2build2
    • 9.4.26-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Ubuntu:22.04:LTS

    Versiones
    • 9.4.39-3
    • 9.4.44-2
    • 9.4.44-3
    • 9.4.44-4
    • 9.4.45-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Ubuntu:24.04:LTS

    Versiones
    • 9.4.51-2
    • 9.4.53-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Ubuntu:25.10

    Versiones
    • 9.4.56-1
    • 9.4.57-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty12 Ubuntu:26.10

    Versiones
    • 12.0.32-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Ubuntu:26.10

    Versiones
    • 9.4.58-1
    • 9.4.58-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty12 Ubuntu:26.04:LTS

    Versiones
    • 12.0.17-3.1
    • 12.0.32-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • jetty9 Ubuntu:26.04:LTS

    Versiones
    • 9.4.57-1
    • 9.4.57-1.1
    • 9.4.58-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →