Eclipse Jetty: Offenlegung von Proxy-Zugangsdaten durch gefälschte 407-Antwort
Zusammenfassung
Der HttpClient von Eclipse Jetty (jetty-client) akzeptiert nach dem Aufbau eines HTTPS-CONNECT-Tunnels jede 407-Antwort Proxy Authentication Required, auch wenn sie vom Zielserver statt vom Proxy stammt. Ein böswilliger oder kompromittierter HTTPS-Server kann eine gefälschte 407-Aufforderung senden, worauf Jetty die Anfrage mit dem konfigurierten Proxy-Benutzernamen und Passwort innerhalb des TLS-Tunnels erneut sendet. Der Angreifer kann diese Zugangsdaten auslesen, eine Codeausführung findet jedoch nicht statt. Die Schwachstelle betrifft Jetty-HttpClient-Anwendungen, die eine Proxy-Authentifizierung verwenden und einen nicht vertrauenswürdigen HTTPS-Endpunkt kontaktieren.
Betroffen
- org.eclipse.jetty:jetty-client 12.1.0 bis 12.1.12
- 12.0.0 bis 12.0.38
- 11.0.0 bis 11.0.32
- 10.0.0 bis 10.0.32
- 9.4.0 bis 9.4.64
Behoben in
- 12.1.13
- 12.0.39
- 11.0.33
- 10.0.33
- 9.4.65
(Gepatchte Versionen gemäss GHSA-r2c5-3p8g-wpvw. Einige Versionshinweise nennen diese CVE nicht, daher ist die Angabe im Advisory zu prüfen.)
Umgehung
- Vom Hersteller dokumentierte Workaround nicht gefunden.
- Authentifizierte Forward-Proxys für HTTPS-Aufrufe an nicht vertrauenswürdige Ziele vermeiden.
- Ausgehende Verbindungen auf bekannte Endpunkte beschränken.
- Ein dediziertes Proxy-Konto mit minimalen Rechten verwenden.
Ausnutzung
- Nicht als aktiv ausgenutzt bekannt (CISA KEV: nein).
- CISA SSVC gibt die Ausnutzung als 'poc' und die Automatisierbarkeit als 'no' an.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden. EPSS etwa 0.0032 (niedrig).
Unsere Empfehlung
- Anwendungen und Software inventarisieren, die jetty-client einbetten, und deren Versionen prüfen.
- Auf eine oben aufgeführte, gepatchte Version aktualisieren oder beim Softwarehersteller einen gepatchten Build anfragen.
- Falls kein Patch möglich ist, die Workarounds anwenden und Proxy-Zugangsdaten auf das nötige Minimum beschränken.
- Proxy-Zugangsdaten erneuern, wenn ein betroffener Client mit einem nicht vertrauenswürdigen HTTPS-Host verbunden war.
- Proxy-Protokolle auf unerwartete Authentifizierungsaktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-r2c5-3p8g-wpvw github.com
- Eclipse CVE assignment work item #238 gitlab.eclipse.org
- HeroDevs vulnerability directory entry www.herodevs.com
- Vulners NVD record CVE-2026-77711 vulners.com
- VulDB entry 420567 vuldb.com
- Strix CVE record CVE-2026-77711 www.strix.ai
- Jetty release 12.1.13 github.com
- Jetty release 12.0.39 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.