CVE-2026-2332

eclipse jetty

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2026-2332

Katalog CVE

CVSS 9.1 · Critical EPSS 1,3%

Kerentanan Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') pada eclipse jetty. Skor CVSS 3.1 9.1 (Critical) menurut NVD.

Deskripsi (NVD)

In Eclipse Jetty, the HTTP/1.1 parser is vulnerable to request smuggling when chunk extensions are used, similar to the "funky chunks" techniques outlined here: * https://w4ke.info/2025/06/18/funky-chunks.html * https://w4ke.info/2025/10/29/funky-chunks-2.html Jetty terminates chunk extension parsing at \r\n inside quoted strings instead of treating this as an error. POST / HTTP/1.1 Host: localhost Transfer-Encoding: chunked 1;ext="val X 0 GET /smuggled HTTP/1.1 ... Note how the chunk extension does not close the double quotes, and it is able to inject a smuggled request.

Rincian

Terbit di NVD
14 April 2026
Terakhir diubah
10 September 2026
Status NVD
Modified
CVSS 3.1
9.1 (Critical), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N · uraikan di kalkulator
Jenis kelemahan (CWE)
CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')
EPSS (30 hari)
1,3% peluang dieksploitasi; lebih tinggi dari 69,8% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
eclipse jetty Versi 9.4.0 hingga sebelum 9.4.60
eclipse jetty Versi 10.0.0 hingga sebelum 10.0.28
eclipse jetty Versi 11.0.0 hingga sebelum 11.0.28
eclipse jetty Versi 12.0.0 hingga sebelum 12.0.33
eclipse jetty Versi 12.1.0 hingga sebelum 12.1.7

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.