Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en Eclipse Jetty (CVE-2019-10247)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-200 Revelación de información
Fecha de publicación:
22/04/2019
Última modificación:
07/11/2023

Descripción

En Eclipse Jetty versión 7.x, versión 8.x,versión 9.2.27 y anteriores , versión 9.3.26 y anteriores , y versión 9.4.16 y anteriores, el servidor que se ejecuta en cualquier combinación de versión de sistema operativo y Jetty, revelará la ubicación del recurso base de directorio calificado y completamente configurado en la salida del error 404 para no encontrar un contexto que coincida con la path requerida. El comportamiento del servidor por defecto en jetty-distribution y jetty-home incluirá al final del árbol de Handlers un DefaultHandler, que es responsable de informar este error 404, presenta los diversos contextos configurados como HTML para que los usuarios hagan clic. Este HTML generado incluye una salida que contiene la ubicación de recursos base de directorio totalmente calificada y configurada para cada contexto.

Impacto

Vector 3.x
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA
Vector 2.0
AV:N/AC:L/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:eclipse:jetty:7.0.0:20091005:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:maintenance_0:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:maintenance_1:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:maintenance_2:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:maintenance_3:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:maintenance_4:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:rc0:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:rc1:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:rc3:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:rc4:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:rc5:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.0:rc6:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.1:20091125:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.2:20100331:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:7.0.2:rc0:*:*:*:*:*:*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página


Referencias a soluciones, herramientas e información