Vulnerabilidad en Eclipse Jetty (CVE-2025-5115)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-400
Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
20/08/2025
Última modificación:
22/08/2025
Descripción
En Eclipse Jetty, versiones <=9.4.57, <=10.0.25, <=11.0.25, <=12.0.21, <=12.1.0.alpha2, un cliente HTTP/2 puede provocar que el servidor envíe tramas RST_STREAM, por ejemplo, enviando tramas con formato incorrecto o que no deberían enviarse en un estado de flujo específico, lo que obliga al servidor a consumir recursos como CPU y memoria. Por ejemplo, un cliente puede abrir un flujo y luego enviar tramas WINDOW_UPDATE con un incremento de tamaño de ventana de 0, lo cual es ilegal. Según la especificación https://www.rfc-editor.org/rfc/rfc9113.html#name-window_update, el servidor debe enviar una trama RST_STREAM. El cliente ahora puede abrir otra transmisión y enviar otra WINDOW_UPDATE incorrecta, lo que provoca que el servidor consuma más recursos de los necesarios. En este caso, no se supera el número máximo de transmisiones simultáneas, pero el cliente puede crear una enorme cantidad de transmisiones en poco tiempo. El ataque puede ejecutarse con otras condiciones (por ejemplo, una trama DATA para una transmisión cerrada) que provocan que el servidor envíe una trama RST_STREAM. Enlaces: * https://github.com/jetty/jetty.project/security/advisories/GHSA-mmxm-8w33-wc4h
Impacto
Puntuación base 4.0
7.70
Gravedad 4.0
ALTA
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Referencias a soluciones, herramientas e información
- https://github.com/jetty/jetty.project/pull/13449
- https://github.com/jetty/jetty.project/releases/tag/jetty-10.0.26
- https://github.com/jetty/jetty.project/releases/tag/jetty-11.0.26
- https://github.com/jetty/jetty.project/releases/tag/jetty-12.0.25
- https://github.com/jetty/jetty.project/releases/tag/jetty-12.1.0
- https://github.com/jetty/jetty.project/releases/tag/jetty-9.4.58.v20250814
- https://github.com/jetty/jetty.project/security/advisories/GHSA-mmxm-8w33-wc4h