プラットフォーム
java
コンポーネント
org.eclipse.jetty:jetty-http
修正版
12.1.7
12.0.33
11.0.28
10.0.28
9.4.60
12.1.7
Jetty HTTP の脆弱性により、HTTP/1.1 チャンク化転送エンコーディング拡張値の引用文字列の解析に誤りが発生し、リクエストスモッグ攻撃を招く可能性があります。この脆弱性は、Funky Chunks の研究を基に発見されました。影響を受けるバージョンは Jetty HTTP 12.1.6 以前です。12.1.7 以降にアップデートすることで修正されています。
Eclipse Jetty の CVE-2026-2332 は、HTTP/1.1 のチャンク転送エンコーディング拡張値内の引用符で囲まれた文字列の誤った解析により、HTTP リクエストスモグリング攻撃を可能にします。この欠陥は、Jetty が引用符で囲まれたチャンクエンコーディング拡張の構文を適切に検証しないために発生します。攻撃者は、プロキシサーバーとバックエンドサーバーがリクエストを異なる解釈する悪意のある HTTP リクエストを送信することでこれを悪用できます。これにより、リソースへの不正アクセスや悪意のあるコードの実行につながる可能性があります。CVSS 重大度は 7.4 で、高いリスクを示します。このリスクを軽減するために、バージョン 12.1.7 へのアップデートを適用することが重要です。
この脆弱性は、HTTP リクエストスモグリングのための 'Funky Chunks' 技術を利用します。攻撃者は、プロキシサーバーとバックエンドサーバーを欺いてリクエストを異なる解釈させるために、チャンク転送エンコーディングヘッダーを操作します。転送エンコーディングの値で引用符を使用すると、Jetty が正しく処理しない特定の脆弱性が導入されます。成功した悪用には、攻撃者が初期の HTTP リクエストを制御し、悪意のあるチャンク転送エンコーディングヘッダーを含めることができる必要があります。悪用の複雑さは、プロキシサーバーとバックエンドサーバーの構成によって異なります。
エクスプロイト状況
EPSS
0.01% (2% パーセンタイル)
CISA SSVC
CVE-2026-2332 を軽減するための主な解決策は、Eclipse Jetty をバージョン 12.1.7 以降にアップデートすることです。このバージョンには、引用符で囲まれた文字列の解析の問題を修正する修正が含まれています。さらに、入力検証や HTTP リクエストの長さを制限するなど、堅牢なセキュリティポリシーが実装されていることを確認するために、サーバー構成を確認してください。チャンク転送エンコーディングに関連する疑わしいパターンをサーバーログで監視することも、攻撃を検出し、防止するのに役立ちます。Web Application Firewalls (WAF) を使用して、悪意のあるトラフィックをフィルタリングすることを検討してください。
Actualice Eclipse Jetty a la versión 12.1.7 o superior, 12.0.33 o superior, 11.0.28 o superior, 10.0.28 o superior, o 9.4.60 o superior para mitigar la vulnerabilidad de smuggling de solicitudes HTTP. Esta vulnerabilidad permite a un atacante inyectar solicitudes maliciosas aprovechando el manejo incorrecto de las extensiones de bloque en el analizador HTTP/1.1.
脆弱性分析と重要アラートをメールでお届けします。
これは、プロキシサーバーとバックエンドサーバーが HTTP リクエストを処理する方法の違いを利用する攻撃技術であり、攻撃者が正規のリクエストの間に悪意のあるリクエストを挿入できます。
バージョン 12.1.7 には、CVE-2026-2332 のための特定の修正が含まれており、引用符で囲まれた文字列の解析の脆弱性が修正されています。
アップデートに加えて、入力検証、HTTP リクエストの長さを制限、および WAF の使用を検討してください。
チャンク転送エンコーディングとリクエストスモグリングに関連する疑わしいパターンについて、サーバーログを監視してください。
'Funky Chunks' に基づくバリアントを含む、HTTP リクエストスモグリングの脆弱性を特定するのに役立つ侵入テストツールがあります。
CVSS ベクトル
pom.xml ファイルをアップロードすると、影響の有無を即座にお知らせします。