Eclipse Jetty: Umgehung der Zugriffskontrolle über ServletSecurity-Annotation

Zusammenfassung

Eclipse Jetty ignoriert die @ServletSecurity-Annotation eines Servlets für alle seine URL-Zuordnungen, wenn nur eine dieser Zuordnungen durch eine security-constraint in der web.xml geschützt ist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann die ungeschützte Zuordnung des Servlets aufrufen und die vorgesehene Zugriffskontrolle umgehen. Betroffen sind nur Webanwendungen, die auf einem Servlet mit mehreren URL-Pattern annotationsbasierte und descriptorbasierte Sicherheitsbeschränkungen kombinieren.

Betroffen

• jetty-ee8-, jetty-ee9-, jetty-ee10- und jetty-ee11-annotations 12.1.0 bis 12.1.11
• jetty-ee8-, jetty-ee9- und jetty-ee10-annotations 12.0.0 bis 12.0.38
• jetty-annotations 11.0.0 bis 11.0.32, 10.0.0 bis 10.0.32 und 9.4.0 bis 9.4.64
• Nicht betroffen, wenn die web.xml jede URL-Zuordnung des annotierten Servlets einschränkt.

Behoben in

• jetty-ee8/ee9/ee10/ee11-annotations 12.1.12 und 12.0.39 (12.0.x für ee8, ee9 und ee10)
• jetty-annotations 11.0.33, 10.0.33 und 9.4.65 (im Advisory als behoben aufgeführt; eine Drittquelle gibt an, dass diese Versionen nur über kommerziellen Support erhältlich sind)
• Nach Möglichkeit die neueste 12.0- oder 12.1-Version verwenden.

Umgehung

Unbekannt. Es wurde keine vom Hersteller veröffentlichte Gegenmassnahme gefunden.

Ausnutzung

• CISA SSVC: Exploitation-Status PoC, automatisierbar ja, technische Auswirkung partiell.
• Das Advisory enthält einen vollständigen Proof of Concept mit einer realen WAR-Datei.
• Zum Zeitpunkt der Recherche wurde keine bestätigte Ausnutzung in freier Wildbahn und kein Eintrag im CISA-KEV-Katalog gefunden.
• EPSS etwa 0,3 %.

Unsere Empfehlung

• Alle Jetty-Installationen inklusive eingebettetem Jetty in Drittprodukten mit SBOMs und Abhängigkeitsprüfungen identifizieren.
• Auf die oben genannten fixierten Versionen aktualisieren; 9.4-, 10- und 11-Versionen prioritär behandeln, falls keine fixierte Version verfügbar ist.
• Webanwendungen prüfen, die @ServletSecurity mit security-constraint-Einträgen in der web.xml auf Servlets mit mehreren URL-Pattern kombinieren, und sicherstellen, dass jedes URL-Pattern eine Authentifizierung verlangt.
• Nach der Bereitstellung den Zugriff auf alle URL-Zuordnunger solcher Servlets testen.
• Wo möglich die Zugriffskontrolle zusätzlich auf einem Reverse Proxy oder einer WAF durchsetzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA-v6xf-996f-c35f (Jetty Security Advisory) github.com
• Eclipse CVE work item #211 gitlab.eclipse.org
• HeroDevs vulnerability directory: CVE-2026-18661 www.herodevs.com
• OSV: CVE-2026-18661 osv.dev
• Ubuntu security: CVE-2026-18661 ubuntu.com
• OSV: Debian CVE-2026-18661 osv.dev
• OpenCVE: CVE-2026-18661 app.opencve.io
• HeroDevs blog: Jetty vulnerabilities CVE-2026-18659 to 18662 www.herodevs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:35.