リモートの Redhat Enterprise Linux 8 ホストには、1 つ以上のパッケージがインストールされており、これらのパッケージは複数の脆弱性の影響を受けます。これらの脆弱性はベンダーによって認識されていますが、パッチが適用されません。

  - jetty: 細工された URI により、セキュリティ制約のバイパスが可能になります (CVE-2021-34429)

  - Eclipse Jetty 9.4.6.v20170531から9.4.36.v20210114 (含む) 、10.0.0、および 11.0.0 では、Jettyが多数の品質 (つまり、q) パラメーターを持つ複数のAcceptヘッダーを含むリクエストを処理するとき、サーバーがこれらの品質値を処理する高い CPU 使用率によるサービス拒否 (DoS) 状態になる可能性があります。これにより、これらの品質値の処理に CPU 時間が消費されます。(CVE-2020-27223)

  - Eclipse Jetty 9.4.32 ～ 9.4.38、10.0.0.beta2 ～ 10.0.1、および 11.0.0.beta2 ～ 11.0.1 で、ユーザーがシンボリックリンクである webapps ディレクトリを使用する場合、webapps ディレクトリのコンテンツは静的な webapp として展開されます。これにより、Web アプリケーション自体や、そのディレクトリにある可能性のある他のものに誤ってサービスを提供します。
    (CVE-2021-28163)

注意: Nessus はこれらの問題をテストしておらず、代わりにパッケージがインストールされているというパッケージマネージャーのレポートに依存しています。

検出

RHEL 8 : jetty (パッチ未適用の脆弱性)

medium Nessus プラグイン ID 202285

バージョン 1.3