したがって、ALAS2-2024-2460 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Jetty は、Java ベースのウェブサーバーおよびサーブレットエンジンです。バージョン 9.4.52、10.0.16、11.0.16、12.0.1 より前では、Jetty は HTTP/1 ヘッダーフィールドにおいて content-length 値の直前に「+」文字が入力されることを受け入れます。これは、RFC で許可されているよりも許容度が高く、他のサーバーでは通常このようなリクエストは、400 応答で拒否します。既知の悪用されるシナリオはありませんが、Jetty がこのような 400 応答を送信した後に接続を閉じないサーバーと組み合わせて使用される場合、リクエストスマグリングが発生する可能性があります。バージョン 9.4.52、10.0.16、11.0.16、12.0.1 には、この問題に対するパッチが含まれています。既知の悪用シナリオがないため、回避策はありません。(CVE-2023-40167)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2: jetty（ALAS-2024-2460）

medium Nessus プラグイン ID 190690

変更ログが見つかりません