Eclipse Jetty: Ressourcenerschöpfung durch geleakte HTTP/2-SSL-Verbindungen

Beschreibung

Jetty, ein Java-basierter Webserver und Servlet-Engine, gibt eine aufgebaute und durch TCP-Stau blockierte HTTP/2-SSL-Verbindung bei einem Timeout nicht frei. Ein Angreifer kann durch viele solcher Verbindungen dafür sorgen, dass dem Server die Dateideskriptoren ausgehen, wodurch er keine neuen Verbindungen von legitimen Clients mehr annehmen kann. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 9.4.54, 10.0.20, 11.0.20 oder 12.0.6 aktualisieren, dort ist der Fehler behoben.

Changelog

1. 2026-07-31 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Eclipse Jetty

• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Apple Multiple Products – Integer Overflow oder Wraparound KEV CVE-2021-30952
• Roundcube Webmail – Deserialisierung nicht vertrauenswürdiger Daten KEV CVE-2025-49113
• Linux Kernel – Integer Overflow KEV CVE-2018-14634
• GNU InetUtils Argument Injection Vulnerability KEV CVE-2026-24061
• VMware Aria Operations / VMware Tools – Rechteausweitung durch unsichere Aktionen KEV CVE-2025-41244