jetty-line-check

أي من هذه الثغرات الخمس لعام 2026 أصابت نسختك من Jetty (أو Jetty المُضمَّن مع Spring Boot) — وهل النسخة التي يطلب منك المسؤولون الترقية إليها موجودة فعلاً على Maven Central؟

المحور الرئيسي هو CVE-2026-2332 (GHSA-355h-qmc2-wpwf، high / CVSS v3 7.4): تهريب الطلبات المُجزَّأة (chunked request smuggling) في jetty-http. أصلب حقيقة: النسخ المُصلَّحة العلنية للخطوط الثلاثة القديمة 9.4 / 10 / 11 المنتهية الدعم غير موجودة إطلاقاً — صفحة الأمان الرسمية تكتب لكل واحدة منها see details for availability (= دعم تجاري)، وتلك الأرقام جميعها تُرجع 404 عند فحصها فعلياً على Maven Central.

java -jar jetty-line-check.jar /path/to/jetty         # Jetty مفكوك ومنشور (يفحص lib/*.jar)
java -jar jetty-line-check.jar app.war                # war
java -jar jetty-line-check.jar app.jar                # Spring Boot fat jar
java -jar jetty-line-check.jar --table                # عرض جدول الحكم فقط: الثغرات الخمس × الوحدات × خطوط الإصدارات
java -jar jetty-line-check.jar --utf8 ...             # أضِفه عند تشوّه الأحرف الصينية في طرفية Windows

المعيار: الإحداثيات + خط الإصدار → جدول الحكم + فحص الـ jar الحقيقي على Central

المعيار في المشروع الشقيق tomcat-line-check هو «هل يوجد صنف إصلاح معيّن داخل الـ jar»، لأن إصلاح Tomcat ذاك أضاف صنفاً جديداً.

أما هذه الثغرات في Jetty فلا تصلح معها هذه الطريقة. فالثغرة الرئيسية CVE-2026-2332، إصلاحها عدّل جسم الدالة في HttpParser ولم يُضِف أي صنف (تم التأكد قبل البناء عبر gh api compare + javap). لذا لا يمكن أن يكون المعيار إلا:

إحداثياتك الكاملة + خط الإصدار، أي الثغرات تصيبها؛ وهل النسخة المُصلَّحة التي حدّدها المسؤولون موجودة فعلاً على Maven Central.

جدول الحكم يُولَّد بواسطة tools/gen_table.py من vulnerabilities[] في الاستشارات الخمس على GitHub + فحص HEAD للـ jar الحقيقي على Maven Central، ولا يُخرِج الجدول إلا إذا نجحت المجموعات السبع من التأكيدات (الضابط الموجب / الادعاء الجوهري / النسخة النهائية للخطوط القديمة / الحارس / البنية الرئيسية / الوحدات المتشققة / التصنيف).

الحالات الثلاث لتوافر النسخة المُصلَّحة (جوهر هذه الأداة)

تلك الكتلة الكاملة من 404 و 无 في الخطوط القديمة (9.4 / 10.0 / 11.0) هي جوهر قيمة هذه الأداة. شغّل --table لرؤية الصورة كاملة.

الثغرات الخمس المغطاة (كلها استشارات مُراجَعة من org.eclipse.jetty، عام 2026)

🔴 سطح التأثر الوحيد الصامد هو الثغرة الرئيسية 2332 (مسار التهريب يقع على مسار التحليل الافتراضي الرئيسي ServerConnector / HttpParser، ولا يتطلب تفعيل أي ميزة محددة). أما الثغرات الأربع الأخرى فتُعامَل كسطر واحد في جدول الحكم فقط:

• سطح التأثر في CVE-2026-10050 (Digest) ضيق جداً —— لا يُصاب به إلا من فعّل مصادقة Digest صراحةً، فلا تجعله نقطة البيع الرئيسية.
• CVE-2026-6790 تصنيفها medium و CVE-2025-11143 تصنيفها low —— لا يجوز وصفها جميعاً بـ«عالية الخطورة».

حدود الكلام (هذه الأداة لا تتجاوزها، وأنت أيضاً لا تتجاوزها)

• «إصابة نطاق التأثر» حقيقة تخصّ المكوّن؛ أما «ستُهاجَم» فأمر آخر. صياغة هذه الأداة هي الأولى دائماً.
• الثغرة الرئيسية CVE-2026-2332 هي تهريب طلبات: لا يُتصوَّر الخطر إلا بوجود وكيل أمامي / موازن تحميل أمامها، مع اختلاف الطرفين في تفسير الطلب نفسه. لا يمكن نسج قصة هجوم على Jetty تعمل وحدها —— تصنيف هذه الثغرة 7.4، وليست «من ثبّتها انتهى أمره».
• «404 على Central» حقيقة مقيسة؛ أما «المسؤولون يخفون الترقيع ليبيعوه» فكلام لا تقله نيابةً عنهم. صفحتهم الرسمية تكتب see details for availability، ونقف عند هذا الحد.
• وليس الأمر «Jetty توقفت عن الإصدار» —— خطّا 12.0 / 12.1 ما زالا يُحدَّثان، والنسخ المُصلَّحة العلنية لهذين الخطين موجودة على Central.

المصادر الأولية

• الاستشارة الرئيسية: https://github.com/advisories/GHSA-355h-qmc2-wpwf (تتضمن PoC قابلاً للتشغيل ورابط بحث Funky Chunks)
• الاستشارات الأربع الأخرى: GHSA-r7p8-xq5m-436c · GHSA-7p3p-8qv8-m2vh · GHSA-2fvj-hgj9-j2gr · GHSA-wjpw-4j6x-6rwh
• صفحة الأمان الرسمية (مصدر see details for availability): https://jetty.org/security.html
• انتهاء دعم خطوط الإصدارات: https://jetty.org/download.html

إعادة التوليد / المراجعة قبل النشر

python tools/gen_table.py --dry              # تشغيل التأكيدات فقط، دون كتابة ملفات
python tools/gen_table.py                    # لا يُكتب CveTable.java إلا بعد نجاح كل التأكيدات
python tools/recheck_before_publish.py       # أعِد التشغيل يوم النشر، وإن سقط الادعاء عدّل النص لا المعيار

البناء

mvn package      # يتطلب JDK 17؛ بلا اعتماديات وقت التشغيل (JUnit لمرحلة الاختبار فقط)

رموز الخروج

🔴 سبب وجود 4: الأثر المكتوب موجَّه للبشر، أما CI والسكربتات فتنظر إلى رمز الخروج. بدونه، سيتحول jar تالف / مشفَّر / ناقص التنزيل بصمت إلى عبارة «لم يُعثر على مشاكل» —— «لا أستطيع قراءته» و«أنت آمن» يجب أن تكونا جملتين مختلفتين. ⚠️ الـ jar الفارغ المشروع (سجل EOCD بطول 22 بايت) لا يُعدّ غير قابل للقراءة، ولن يُفعِّل 4.

License

MIT