PT-2021-6553 · Eclipse+2 · Eclipse Jetty+2
Publicado
2021-07-15
·
Atualizado
2025-09-29
·
CVE-2021-34429
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Eclipse Jetty de 9.4.37 a 9.4.42
Versões do Eclipse Jetty de 10.0.1 a 10.0.5
Versões do Eclipse Jetty de 11.0.1 a 11.0.5
Descrição
A vulnerabilidade permite que um invasor crie URIs usando caracteres codificados para acessar o conteúdo do diretório WEB-INF e/ou contornar algumas restrições de segurança. Isso está relacionado a uma autorização inadequada no contêiner de servlets Jetty, que pode ser explorada por um invasor remoto para obter acesso a dados confidenciais.
Recomendações
Para as versões 9.4.37 a 9.4.42 do Eclipse Jetty, atualize para uma versão fora desse intervalo para resolver a vulnerabilidade.
Para as versões 10.0.1 a 10.0.5 do Eclipse Jetty, atualize para uma versão fora desse intervalo para resolver a vulnerabilidade.
Para as versões 11.0.1 a 11.0.5 do Eclipse Jetty, atualize para uma versão fora desse intervalo para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso ao diretório WEB-INF para minimizar o risco de exploração.
Exploit
Correção
Information Disclosure
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Eclipse Jetty
Suse