Aller au contenu
en Se connecter
7.4 Élevée

CVE-2026-2332 In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to…

Description

In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to the "funky chunks" techniques outlined here: * https://w4ke.info/2025/06/18/funky-chunks.html * https://w4ke.info/2025/10/29/funky-chunks-2.html Jetty terminates chunk extension parsing at \r\n inside quoted strings instead of treating this as an error. POST / HTTP/1.1 Host: localhost Transfer-Encoding: chunked 1;ext="val X 0 GET /smuggled HTTP/1.1 ... Note how the chunk extension does not close the double quotes, and it is able to inject a smuggled request.

Produits et versions touchés

Produit Versions touchées Corrigé en
Eclipse Jetty 12.1 12.1.0 → 12.1.6 Pas de correctif indiqué
Eclipse Jetty 12.0 12.0.0 → 12.0.32 Pas de correctif indiqué
Eclipse Jetty 11.0 11.0.0 → 11.0.28 Pas de correctif indiqué
Eclipse Jetty 10.0 10.0.0 → 10.0.27 Pas de correctif indiqué
Eclipse Jetty 9.4 9.4.0 → 9.4.59 Pas de correctif indiqué
Red Hat Enterprise Linux CodeReady Linux Builder (v. 9) Versions non publiées
HawtIO HawtIO 4.4.0 Versions non publiées
Red Hat AMQ Broker 7.13.5 Versions non publiées
Red Hat Build of Apache Camel 4.18 for Quarkus 3.33 Versions non publiées
Afficher les 45 autres branches
Produit Versions touchées Corrigé en
Red Hat Offline Knowledge Portal 1.2.6 Versions non publiées
Red Hat OpenShift Dev Spaces 3.27 1776717247 premières → < 1776717247 1776717247
Red Hat build of Apache Camel 4.18.1 for Spring Boot 3.5.14 Versions non publiées
OpenShift Developer Tools and Services Versions non publiées
Red Hat AMQ Broker 7 Versions non publiées
Red Hat build of Apache Camel 4 for Quarkus 3 Versions non publiées
Red Hat build of Debezium 2 Versions non publiées
Red Hat build of Debezium 3 Versions non publiées
Red Hat Fuse 7 Versions non publiées
Red Hat JBoss Web Server 6 Versions non publiées
Red Hat Satellite 6 Versions non publiées
Red Hat Single Sign-On 7 Versions non publiées
streams for Apache Kafka 2 Versions non publiées
streams for Apache Kafka 3 Versions non publiées
Red Hat build of Apicurio Registry 2 Versions non publiées
Red Hat build of Apicurio Registry 3 Versions non publiées
Red Hat Data Grid 8 Versions non publiées
Red Hat JBoss Enterprise Application Platform 7 Versions non publiées
Red Hat JBoss Enterprise Application Platform 8 Versions non publiées
Red Hat JBoss Enterprise Application Platform Expansion Pack Versions non publiées
Red Hat Process Automation 7 Versions non publiées
Red Hat Offline Knowledge Portal 1.2.7 1779996999 premières → < 1779996999 1779996999
Red Hat Enterprise Linux 9 Versions non publiées
Red Hat Offline Knowledge Portal 1.2.3 1779996999 premières → < 1779996999 1779996999
Red Hat Offline Knowledge Portal 1.2.9 1779996999 premières → < 1779996999 1779996999
Red Hat Offline Knowledge Portal 1.2.5 1779996999 premières → < 1779996999 1779996999
Red Hat Satellite 6.16 for RHEL 8 Versions non publiées
Red Hat Satellite 6.16 for RHEL 9 Versions non publiées
Red Hat Satellite 6.17 for RHEL 9 Versions non publiées
Red Hat Satellite 6.18 for RHEL 9 Versions non publiées
Red Hat Satellite 6.19 for RHEL 9 Versions non publiées
Red Hat Offline Knowledge Portal 1.2.10 1779996999 premières → < 1779996999 1779996999
OpenShift Developer Tools and Services 4.12 1786628667 premières → < 1786628667 1786628667
OpenShift Developer Tools and Services 4.13 1786628681 premières → < 1786628681 1786628681
OpenShift Developer Tools and Services 4.14 1786533561 premières → < 1786533561 1786533561
OpenShift Developer Tools and Services 4.15 1786533565 premières → < 1786533565 1786533565
OpenShift Developer Tools and Services 4.16 1787125166 premières → < 1787125166 1787125166
OpenShift Developer Tools and Services 4.17 1787124635 premières → < 1787124635 1787124635
OpenShift Developer Tools and Services 4.18 1787125069 premières → < 1787125069 1787125069
OpenShift Developer Tools and Services 4.19 1787124632 premières → < 1787124632 1787124632
OpenShift Developer Tools and Services 4.20 1787124925 premières → < 1787124925 1787124925
OpenShift Developer Tools and Services 4.21 1787125311 premières → < 1787125311 1787125311
OpenShift Developer Tools and Services 4.22 1787124779 premières → < 1787124779 1787124779
Red Hat Offline Knowledge Portal 1.2.12 1779996999 premières → < 1779996999 1779996999
Red Hat Offline Knowledge Portal 1.2.4 1779996999 premières → < 1779996999 1779996999

Références

Chronologie

  1. Publiée
  2. Dernière modification

Autres CVE de Eclipse Jetty

Les 16 CVE de Eclipse Jetty →
CVE-2026-18661 In Eclipse Jetty, across various versions of `jetty-annotations`, and `jetty-eeN-annotations`, the Jakarta Spec… 8.8 Élevée CVE-2026-77711 When Jetty's `HttpClient` make a request to a server through a forward proxy, the server may reply with a 407 (Proxy… 8.2 Élevée CVE-2026-76184 In Eclipse Jetty, HttpClient may receive a redirect of the form: ``` /secure/../evil ``` If an attacker is able to… 8.2 Élevée CVE-2026-76182 In Eclipse Jetty, `TryPathsHandler` and `TryFilesFilter` can be configured to forward requests to template URIs such… 6.9 Moyenne
Suivre cette CVE