要点
- CVE-2024-6762 は org.eclipse.jetty:jetty-servlets, jetty (eclipse) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
- 今後30日間に悪用される確率（EPSS）：0.94%（全脆弱性の 61.0% より高い）。
- 対処：10.0.18, 11.0.18, 12.0.4 以降に更新してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|
| org.eclipse.jetty:jetty-servlets Maven | ≥ 10.0.0, < 10.0.18≥ 11.0.0, < 11.0.18≥ 12.0.0, < 12.0.4
| 10.0.1811.0.1812.0.4
|
| jetty | ≥ 10.0.0, < 10.0.18≥ 11.0.0, < 11.0.18≥ 12.0.0, < 12.0.4
| 10.0.1811.0.1812.0.4
|
概要
Impact
Jetty PushSessionCacheFilter can be exploited by unauthenticated users to launch remote DoS attacks by exhausting the server’s memory.
Patches
Workarounds
The session usage is intrinsic to the design of the PushCacheFilter. The issue can be avoided by:
- not using the PushCacheFilter. Push has been deprecated by the various IETF specs and early hints responses should be used instead.
- reducing the reducing the idle timeout on unauthenticated sessions will reduce the time such session stay in memory.
- configuring a session cache to use session passivation, so that sessions are not stored in memory, but rather in a database or file system that may have significantly more capacity than memory.
References
NVD の説明
Jetty PushSessionCacheFilter can be exploited by unauthenticated users
to launch remote DoS attacks by exhausting the server’s memory.
org.eclipse.jetty:jetty-servlets のその他の脆弱性
すべて見る →これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン