• 我的位置：
  • 首頁
  • -
  • 漏洞預警
  • -
  • 其他
  • -
    • Jetty任意文件下載漏洞安全通告
    • CNNVD編號：未知
    • 危害等級： 中危 
    • CVE編號：CVE-2021-28164、CVE-2021-28169
    • 漏洞類型： Jetty任意文件 下載漏洞
    • 威脅類型：未知
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時間：2021-06-15
    • 更新時間：2021-06-15

    漏洞簡介

    1、組件介紹

    Jetty是一個開源的servlet容器，它為基于Java的web容器，例如JSP和servlet提供運行環(huán)境。Jetty是使用Java語言編寫的，它的API以一組JAR包的形式發(fā)布。開發(fā)人員可以將Jetty容器實例化成一個對象，可以迅速為一些獨立運行（stand-alone）的Java應用提供網(wǎng)絡和web連接。

    2、漏洞描述

       2021年6月10日，深信服安全團隊監(jiān)測到多個Jetty任意文件下載漏洞，官方已經(jīng)修復漏洞，具體漏洞信息如下：

    序號

    漏洞名

    漏洞編號

    影響版本

    嚴重等級

    1


    Jetty任意文件

    下載漏洞


    CVE-2021-28164


    9.4.37 ≤ Jetty ≤ 9.4.38


        中危

    2


    Jetty任意文件

    下載漏洞


    CVE-2021-28169


    Jetty ≤ 9.4.40

    Jetty ≤ 10.0.2

    Jetty ≤ 11.0.2


        中危


     CVE-2021-28164

       該漏洞由于默認符合性模式允許具有包含%2e或%2e%2e的URI的請求，訪問受保護的資源。攻擊者可利用該漏洞在未授權情況下，構造惡意數(shù)據(jù)，最終可造成服務器敏感性信息泄露等。


     CVE-2021-28169

       該漏洞由于攻擊者向ConcatServlet發(fā)起帶有雙重編碼的URI請求，訪問受保護的資源。攻擊者可利用該漏洞在未授權情況下，構造惡意數(shù)據(jù)，最終可造成服務器敏感性信息泄露等。

    漏洞公示

    參考phith0n師傅的vulhub進行漏洞環(huán)境搭建，復現(xiàn)漏洞，效果如下：


    CVE-2021-28164



    CVE-2021-28169

    參考網(wǎng)站

    暫無

    受影響實體

    Jetty提供了Web服務器和javax.servlet容器功能，額外支持HTTP/2、WebSocket、OSGI、JMX、JNDI、JAAS和很多其他的集成模塊。可能受漏洞影響的資產(chǎn)廣泛分布于世界各地，當前可能受漏洞影響的資產(chǎn)主要集中在國內廣東、江蘇、湖北等省份地區(qū)。

    補丁

    1、如何檢測組件系統(tǒng)版本

     訪問根路徑，查看響應包頭部字段中的server字段，其中會包含Jetty的版本信息。


    2、官方修復建議

       當前官方已發(fā)布最新版本，建議受影響的用戶及時更新升級到最新版本。鏈接如下：

    https://www.eclipse.org/jetty/download.php

    3、深信服解決方案

    【深信服下一代防火墻】可防御（CVE-2021-28164、CVE-2021-28169），建議用戶將深信服下一代防火墻開啟IPS防護策略，并更新最新安全防護規(guī)則，即可輕松抵御此高危風險。

    【深信服安全感知平臺】結合云端實時熱點高危/緊急漏洞信息，可快速檢出業(yè)務場景下的（CVE-2021-28164、CVE-2021-28169），并可聯(lián)動【深信服下一代防火墻等產(chǎn)品】實現(xiàn)對攻擊者IP的封堵。

    【深信服安全云眼】預計2021年6月13日，可以完成（CVE-2021-28164、CVE-2021-28169）檢測更新，對所有用戶網(wǎng)站探測，保障用戶安全。不清楚自身業(yè)務是否存在漏洞的用戶，可注冊信服云眼賬號，獲取30天免費安全體驗。

    注冊地址：http://saas.sangfor.com.cn

    【深信服云鏡】預計2021年6月13日，完成（CVE-2021-28164、CVE-2021-28169）檢測能力的發(fā)布，部署了云鏡的用戶可以通過升級來快速檢測網(wǎng)絡中是否受該高危風險影響，避免被攻擊者利用。離線使用云鏡的用戶需要下載離線更新包來獲得漏洞檢測能力，可以連接云端升級的用戶可自動獲得漏洞檢測能力。