De quoi il s’agit

Eclipse Jetty ist ein Java-HTTP-Server und Java-Servlet-Container. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Eclipse Jetty ausnutzen, um einen Denial of Service Angriff durchzuführen.

Dans quelles conditions ?

Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• einen Denial of Service Angriff durchzuführen

Suis-je concerné ?

Concernés selon le BSI :

• IBM Security Guardium 11.3
• Eclipse Jetty <10.0.16
• Eclipse Jetty <11.0.16
• Debian Linux
• IBM Maximo Asset Management 7.6.1
• IBM Security Guardium 10.6
• IBM InfoSphere Information Server 11.7
• Red Hat Enterprise Linux
• SUSE Linux
• IBM Integration Bus
• IBM SPSS Modeler
• IBM QRadar SIEM 7.5

et 16 autres

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• Eclipse Jetty 10.0.16
• Eclipse Jetty 11.0.16
• Eclipse Jetty 9.4.53
• Eclipse Jetty 10.0.17
• Eclipse Jetty 11.0.17
• Eclipse Jetty 12.0.2
• Dell NetWorker vProxy19.9.0.4
• Dell NetWorker vProxy19.10
• Atlassian Confluence 8.5.7
• Atlassian Confluence 7.19.20
• Atlassian Confluence 8.8.1
• IBM Rational Change 5.3.2.7

La faille est-elle déjà exploitée ?

• CVE-2023-44487: exploitée dans la nature selon la CISA, au catalogue depuis le 10.10.2023.
• Selon un avis de la CISA, utilisée par des acteurs de : 2023 Top Routinely Exploited Vulnerabilities (11/2024)