最新のUpstreamリリースに更新して、CVE-2017-9735を修正してください

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

JavaサーブレットエンジンおよびWebサーバーであるJettyが、ローカルユーザーにパスワードなどの暗号認証情報を漏洩させるタイミング攻撃に対して脆弱であることがわかりました。

Debian 7「Wheezy」では、これらの問題はバージョン6.1.26-1+deb7u1で修正されました。

jettyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Java サーブレットエンジンである jetty、および Web サーバーで、いくつかの脆弱性が発見されました。攻撃者が、パスワードなどの暗号化された認証情報をローカルユーザーに漏洩させたり、インストールパスを漏洩させたり、ユーザーセッションをハイジャックしたり、同じ場所に配置された Web アプリケーションを改ざんしたりする可能性があります。

CVE-2017-9735

Jetty は、util/security/Password.java のタイミングチャネルの影響を受けやすくなっています。このため、リモートの攻撃者は、正しくないパスワードを拒否するまでの経過時間を監視することで、簡単にアクセス権を取得できます。

CVE-2018-12536

デフォルトのエラー処理を使用して展開された webapp では、動的な url-pattern と一致しない意図的に不良なクエリが来て、最終的に DefaultServlet の静的ファイルサービングによって処理される場合、不良文字によって、DefaultServlet や webapp が使用しているベースリソースディレクトリへのフルパスを含む java.nio.file.InvalidPathException が発生する可能性があります。この InvalidPathException がデフォルトのエラーハンドラーによって処理されると、InvalidPathException メッセージがエラー応答に含まれるため、リクエストしているシステムへの完全なサーバーパスが明らかになります。

CVE-2019-10241

ディレクトリコンテンツのリストの表示用に構成された DefaultServlet または ResourceHandler に対してリモートクライアントが特別にフォーマットされた URL を使用する場合、サーバーは XSS 状態に対して脆弱です。

CVE-2019-10247

任意の OS や Jetty バージョンの組み合わせで実行しているサーバーは、クエストされたパスと一致する Context が見つからない場合に、404 エラーの出力で構成済みの完全修飾ディレクトリベースのリソースの位置を明らかにします。jetty-distribution と jetty-hom eのデフォルトのサーバー動作には、ハンドラーツリーの末尾に DefaultHandler があります。これはこの404エラーを報告する役割を果たし、ユーザーがクリックスルーするためのさまざまな構成済みコンテキストを HTML として提示します。この生成された HTML には、各コンテキストに対する構成済みの完全修飾ディレクトリベースリソースの場所を含む出力が含まれています。

CVE-2020-27216

Unix のようなシステムでは、システムの一時ディレクトリはそのシステムの全ユーザーで共有されます。併置されたユーザーは、共有一時ディレクトリで一時サブディレクトリを作成するプロセスを観察し、一時サブディレクトリの作成を完了するために競合する可能性があります。攻撃者が競合に勝った場合、攻撃者は、WEB-INF/lib jar ファイルや JSP ファイルを含む、Web アプリケーションの解凍に使用されるサブディレクトリに対する読み取りおよび書き込み権限を取得します。この一時ディレクトリ以外でコードが実行された場合、ローカルの権限昇格の脆弱性が発生する可能性があります。

この更新プログラムには、その他のいくつかのバグ修正と改善策も含まれています。
詳細については、upstream 変更ログファイルを参照してください 。

Debian 9 'Stretch' では、これらの問題はバージョン 9.2.30-0+deb9u1 で修正されています。

jetty9 パッケージをアップグレードすることを推奨します。

jetty9の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/jetty9

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 9.4.x までの Jetty は、util/security/Password.java のタイミングチャネルの影響を受けるため、リモートの攻撃者が不適切なパスワードを拒否するまでの経過時間を監視することで、アクセス権を取得しやすくなります。
    (CVE-2017-9735)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

JavaサーブレットエンジンおよびWebサーバーであるjetty8が、ローカルユーザーにパスワードなどの暗号認証情報を漏洩させるタイミング攻撃に対して脆弱であることがわかりました。

Debian 7「Wheezy」では、これらの問題はバージョン8.1.3-4+deb7u1で修正されました。

jetty8パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2017-9735の修正をバックポートします

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
101629	Fedora 26：jetty（2017-4e2312892e）	Nessus	Fedora Local Security Checks	2017/7/17	2021/1/6	high
101321	Debian DLA-1020-1: jettyセキュリティ更新	Nessus	Debian Local Security Checks	2017/7/10	2021/1/11	high
101325	Fedora 25：jetty / jetty-alpn / jetty-test-helper（2017-03954b6dc4）	Nessus	Fedora Local Security Checks	2017/7/10	2021/1/11	high
149518	Debian DLA-2661-1：jetty9 セキュリティ更新	Nessus	Debian Local Security Checks	2021/5/17	2024/1/16	high
221783	Linux Distros のパッチ未適用の脆弱性: CVE-2017-9735	Nessus	Misc.	2025/3/4	2025/9/3	high
101376	Debian DLA-1021-1: jetty8セキュリティ更新	Nessus	Debian Local Security Checks	2017/7/12	2021/1/11	high
101497	Fedora 24：jetty（2017-1206f87545）	Nessus	Fedora Local Security Checks	2017/7/13	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

high