Eclipse Jetty HttpClient: Zugangsdaten-Leck bei nicht normalisierter Weiterleitung
Zusammenfassung
Der HttpClient von Eclipse Jetty vergleicht zwischengespeicherte Basic-Authentifizierungs-Zugangsdaten mit dem unbereinigten Weiterleitungspfad, bevor Punkt-Segmente entfernt werden. Eine manipulierte Weiterleitung auf derselben Origin, etwa /private/../privateevil/collect, sendet die Zugangsdaten daher an einen Nachbarpfad ausserhalb ihres konfigurierten Gültigkeitsbereichs. Ein Angreifer, der Weiterleitungen beeinflussen kann und eine Anwendung auf derselben Domain betreibt, kann Benutzername und Passwort erlangen.
Betroffen
- org.eclipse.jetty:jetty-client 12.1.0 bis 12.1.12
- org.eclipse.jetty:jetty-client 12.0.0 bis 12.0.38
- org.eclipse.jetty:jetty-client 11.0.0 bis 11.0.32
- org.eclipse.jetty:jetty-client 10.0.0 bis 10.0.32
- org.eclipse.jetty:jetty-client 9.4.0 bis 9.4.64
Behoben in
- 12.1.13
- 12.0.39
- 11.0.33
- 10.0.33
- 9.4.65
- Laut Drittquellen werden Jetty 9, 10 und 11 nicht mehr auf Maven Central veröffentlicht. Die Verfügbarkeit dieser Korrekturen ist vor einem Einsatz zu bestätigen.
Umgehung
- Keine offizielle Workaround-Massnahme bekannt.
- Automatisches Folgen von Weiterleitungen im HttpClient dort einschränken, wo Basic-Zugangsdaten verwendet werden.
- Keine nicht vertrauenswürdigen Anwendungen auf demselben Host betreiben wie Dienste, die Basic-Zugangsdaten entgegennehmen.
Ausnutzung
- Das GHSA-Advisory enthält einen vollständigen Proof of Concept für Basic-Authentifizierung.
- CISA SSVC: Exploitation PoC, nicht automatisierbar, partielle technische Auswirkung.
- Zum Zeitpunkt der Recherche wurde keine bekannte Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Alle Jetty-Artefakte in Java-Anwendungen und Appliances mit einer SBOM oder einem Dependency-Scan erfassen.
- Prüfen, ob Anwendungen den HttpClient mit gespeicherten Basic-Zugangsdaten verwenden und welche Hosts sie kontaktieren.
- Jetty 12 auf 12.0.39 oder 12.1.13 aktualisieren.
- Für Jetty 9, 10 oder 11 beim Hersteller eine unterstützte Korrektur oder einen Migrationsplan anfragen und das Risiko bis dahin dokumentieren.
- Den NVD-Eintrag auf die finale Analyse hin überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-qfr2-43g5-g768 github.com
- Eclipse CVE assignment ticket #236 gitlab.eclipse.org
- HeroDevs vulnerability directory: CVE-2026-76184 www.herodevs.com
- VulDB: CVE-2026-76184 vuldb.com
- NVD record via Vulners: CVE-2026-76184 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.