Eclipse Jetty: Mehrere Schwachstellen ermöglichen Denial of Service
WID-SEC-2023-2627 · erstmals 11.10.2023 · aktualisiert 06.07.2026 · CVSS 7,5
Worum es geht
Eclipse Jetty ist ein Java-HTTP-Server und Java-Servlet-Container. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Eclipse Jetty ausnutzen, um einen Denial of Service Angriff durchzuführen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- einen Denial of Service Angriff durchzuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- IBM Security Guardium 11.3
- Eclipse Jetty <10.0.16
- Eclipse Jetty <11.0.16
- Debian Linux
- IBM Maximo Asset Management 7.6.1
- IBM Security Guardium 10.6
- IBM InfoSphere Information Server 11.7
- Red Hat Enterprise Linux
- SUSE Linux
- IBM Integration Bus
- IBM SPSS Modeler
- IBM QRadar SIEM 7.5
und 16 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Eclipse Jetty 10.0.16
- Eclipse Jetty 11.0.16
- Eclipse Jetty 9.4.53
- Eclipse Jetty 10.0.17
- Eclipse Jetty 11.0.17
- Eclipse Jetty 12.0.2
- Dell NetWorker vProxy19.9.0.4
- Dell NetWorker vProxy19.10
- Atlassian Confluence 8.5.7
- Atlassian Confluence 7.19.20
- Atlassian Confluence 8.8.1
- IBM Rational Change 5.3.2.7
Wird die Lücke schon ausgenutzt?
- CVE-2023-44487: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 10.10.2023.
- Laut CISA-Warnung genutzt von Akteuren aus : 2023 Top Routinely Exploited Vulnerabilities (11/2024)
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Eclipse Jetty Releases vom 2023-10-10 www.eclipse.org
- SUSE Security Update SUSE-SU-2023:4210-1 vom 2023-10-26 lists.suse.com
- Debian Security Advisory DLA-3641 vom 2023-10-30 lists.debian.org
- Debian Security Advisory DSA-5540 vom 2023-10-30 lists.debian.org
- IBM Security Bulletin 7076824 vom 2023-11-15 www.ibm.com
- Red Hat Security Advisory RHSA-2023:7247 vom 2023-11-16 access.redhat.com
- Debian Security Advisory DLA-3656 vom 2023-11-19 lists.debian.org
- IBM Security Bulletin 7070763 vom 2023-11-29 www.ibm.com
- IBM Security Bulletin 7099297 vom 2023-12-18 www.ibm.com
- Atlassian Security Advisory CONFSERVER-93826 vom 2024-01-03 jira.atlassian.com
- IBM Security Bulletin 7108700 vom 2024-01-17 www.ibm.com
- DELL Security Update www.dell.com
- Atlassian Security Advisory jira.atlassian.com
- IBM Security Bulletin 7152890 vom 2024-05-16 www.ibm.com
- Red Hat Security Advisory RHSA-2024:3354 vom 2024-05-24 access.redhat.com
- IBM Security Bulletin 7172226 vom 2024-10-04 www.ibm.com
- openSUSE Security Update OPENSUSE-SU-2024:14442-1 vom 2024-10-31 lists.opensuse.org
- Hitachi Vulnerability Information HITACHI-SEC-2024-150 vom 2024-12-17 www.hitachi.com
- IBM Security Bulletin 7229444 vom 2025-03-28 www.ibm.com
- IBM Security Bulletin 7231640 vom 2025-04-23 www.ibm.com
- Dell Security Advisory DSA-2026-152 vom 2026-03-23 www.dell.com
- IBM Security Bulletin 7279060 vom 2026-07-03 www.ibm.com
CVE: CVE-2023-36478, CVE-2023-44487
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.