Eclipse Jetty: Umgehung der Proxy-Hostsperrliste durch Gross-/Kleinschreibung

Zusammenfassung

Der Servlet-Forward-Proxy (ProxyServlet) und der CONNECT-Handler (ConnectHandler) von Jetty vergleichen angefragte Hostnamen case-sensitiv mit Sperrlisten-Einträgen. Da DNS-Hostnamen nicht case-sensitiv sind, passiert eine Variante wie LOCALHOST:8080 einen Sperrlisten-Eintrag für localhost:8080. Ein nicht authentifizierter Angreifer kann so über den Proxy gesperrte interne HTTP-Dienste oder TCP-Endpunkte erreichen (Server-Side Request Forgery). Betroffen sind nur Installationen mit Proxy-Handlern und Host-Sperrlisten; eine strikte Whitelist und numerische IP-Literale werden durch diese Technik nicht umgangen.

Betroffen

• org.eclipse.jetty:jetty-server 12.1.0 bis 12.1.11
• org.eclipse.jetty:jetty-server 12.0.0 bis 12.0.38
• org.eclipse.jetty:jetty-proxy 11.0.0 bis 11.0.32
• org.eclipse.jetty:jetty-proxy 10.0.0 bis 10.0.32
• org.eclipse.jetty:jetty-proxy 9.0.0 bis 9.4.64
• Standardkonfigurationen sind gemäss CNA-Eintrag nicht betroffen.

Behoben in

• jetty-server: 12.1.12 und 12.0.39 (Open-Source-Releases).
• jetty-proxy: Das GHSA-Advisory nennt 11.0.33, 10.0.33 und 9.4.65 als gepatcht. Laut Drittanbieter-Recherche handelt es sich dabei um kommerzielle HeroDevs-Releases, und für die Linien 9.x bis 11.x existiert kein Open-Source-Fix. Diese Versionen vor dem Einsatz verifizieren.

Umgehung

Unbekannt. Es wurde keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden. Proxy-Ziele auf Netzwerkebene einschränken (Egress-Firewall oder IP-Allowlists), anstatt sich auf Hostnamen-Sperrlisten zu verlassen.

Ausnutzung

• CISA-SSVC-Bewertung im CNA-Eintrag: Exploitation 'poc', automatisierbar ja, technische Auswirkung partiell.
• Das GHSA-Advisory enthält einen vollständigen Proof of Concept.
• Es wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden, und es wurde kein Eintrag im CISA-KEV-Katalog gefunden.

Unsere Empfehlung

• Java-Anwendungen inventarisieren und prüfen, ob sie Jetty einbetten, insbesondere für Proxy-Funktionen.
• jetty-server nach Möglichkeit auf 12.1.12 oder 12.0.39 aktualisieren. Für jetty-proxy auf ein gepatchtes Release der eigenen Linie aktualisieren und dessen Herkunft prüfen.
• Keinen Jetty-Proxy-Handler für nicht vertrauenswürdige Clients erreichbar machen.
• Zielbeschränkungen auf Netzwerkebene durchsetzen, anstatt sich auf Hostnamen-Sperrlisten zu verlassen.
• CVE-2026-18659, CVE-2026-18661 und CVE-2026-18662 gemeinsam patchen, da sie dieselben Versionsbereiche betreffen.
• Proxy-Logs auf Anfragen an interne Ziele überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-7wfj-j486-mxrf github.com
• Eclipse CVE assignment work item 212 gitlab.eclipse.org
• HeroDevs vulnerability directory: CVE-2026-18660 www.herodevs.com
• OSV: CVE-2026-18660 osv.dev
• VulDB: CVE-2026-18660 vuldb.com
• HeroDevs blog: Jetty vulnerabilities CVE-2026-18659 to 18662 www.herodevs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:34.