リモートのDebian 10ホストには、dsa-4949のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Eclipse Jettyのバージョン9.2.26以前、9.3.25以前、および9.4.15以前では、ディレクトリコンテンツのリストの表示用に構成されたDefaultServletまたはResourceHandlerに対して、リモートクライアントが特別にフォーマットされたURLを使用する場合、サーバーはXSS状態に対して脆弱です。 (CVE-2019-10241)

  - Eclipse Jettyのバージョン 7.x、8.x、9.2.27以前、9.3.26以前、および9.4.16以前では、任意のOSやJettyバージョンの組み合わせで実行しているサーバーが、クエストされたパスと一致するContextが見つからない場合に、404エラーの出力で構成済みの完全修飾ディレクトリベースのリソースの位置を明らかにします。jetty-distributionとjetty-homeのデフォルトのサーバー動作には、ハンドラーツリーの末尾にDefaultHandlerがあります。これはこの404エラーを報告する役割を果たし、ユーザーがクリックスルーするためのさまざまな構成済みコンテキストをHTMLとして提示します。この生成されたHTMLには、各コンテキストに対する構成済みの完全修飾ディレクトリベースリソースの場所を含む出力が含まれています。
    (CVE-2019-10247)

  - Eclipse Jettyのバージョン1.0から9.4.32.v20200930、10.0.0.alpha1から10.0.0.beta2、11.0.0.alpha1から11.0.0.beta2Oでは、Unixのようなシステムの場合、システムの全ユーザー間でシステムの一時ディレクトリが共有されます。併置されたユーザーは、共有一時ディレクトリで一時サブディレクトリを作成するプロセスを観察し、一時サブディレクトリの作成を完了するために競合する可能性があります。攻撃者が競合に勝った場合、攻撃者は、WEB-INF/lib jarファイルやJSPファイルを含む、Webアプリケーションの解凍に使用されるサブディレクトリに対する読み取りおよび書き込み権限を取得します。この一時ディレクトリ以外でコードが実行された場合、ローカルの権限昇格の脆弱性が発生する可能性があります。 (CVE-2020-27216)

  - Eclipse Jetty 9.4.6.v20170531から9.4.36.v20210114 (含む) 、10.0.0、および11.0.0では、Jettyが多数の品質 (つまり、q) パラメーターを持つ複数のAcceptヘッダーを含むリクエストを処理するとき、サーバーがこれらの品質値を処理する高いCPU使用率によるサービス拒否 (DoS) 状態になる可能性があります。これにより、これらの品質値の処理にCPU時間が消費されます。 (CVE-2020-27223)

  - Fluentd用の2020年12月18日より前のtd-agent-builderプラグインにより、binディレクトリはユーザーアカウントにより書き込み可能ですが、bin内のファイルはNT AUTHORITY\SYSTEMとして実行されるため、攻撃者が権限を取得する可能性があります。
    (CVE-2020-28169)

  - Eclipse Jettyバージョン <= 9.4.40、<= 10.0.2、<= 11.0.2の場合、SessionListener#sessionDestroyed()メソッドから例外がスローされると、セッションIDはセッションIDマネージャーで無効になりません。クラスター化されたセッションと複数のコンテキストを伴う展開では、これによりセッションが無効化されない可能性があります。これにより、共有コンピューターで使用されているアプリケーションがログインしたままになる可能性があります。
    (CVE-2021-34428)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DSA-4949-1: jetty9 - セキュリティ更新

critical Nessus プラグイン ID 152224

バージョン 1.5