Vulnerabilidad en PathResource en Eclipse Jetty en Windows (CVE-2016-4800)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-284
Control de acceso incorrecto
Fecha de publicación:
13/04/2017
Última modificación:
20/04/2025
Descripción
El mecanismo de normalización de ruta en la clase PathResource en Eclipse Jetty 9.3.x en versiones anteriores a 9.3.9 en Windows permite a los atacantes remotos evitar las restricciones de recursos protegidos y otras restricciones de seguridad a través de una URL con ciertos caracteres de escape relacionados con las barras invertidas.
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
7.50
Gravedad 2.0
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:eclipse:jetty:9.3.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.0:m0:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.0:m1:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.0:maintenance2:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.0:rc0:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.0:rc1:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.3:*:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.4:*:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.4:rc0:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.4:rc1:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.5:*:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.6:*:*:*:*:*:*:* | ||
| cpe:2.3:a:eclipse:jetty:9.3.7:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://dev.eclipse.org/mhonarc/lists/jetty-announce/msg00092.html
- http://www.ocert.org/advisories/ocert-2016-001.html
- http://www.securityfocus.com/bid/90945
- http://www.zerodayinitiative.com/advisories/ZDI-16-362
- https://security.netapp.com/advisory/ntap-20190307-0006/
- https://www.oracle.com/security-alerts/cpuoct2020.html
- http://dev.eclipse.org/mhonarc/lists/jetty-announce/msg00092.html
- http://www.ocert.org/advisories/ocert-2016-001.html
- http://www.securityfocus.com/bid/90945
- http://www.zerodayinitiative.com/advisories/ZDI-16-362
- https://security.netapp.com/advisory/ntap-20190307-0006/
- https://www.oracle.com/security-alerts/cpuoct2020.html



