forse01/cve-2019-17638-jettyExploit für CVE-2019-17638, der den Jetty Java HTTP-Server angreift und entfernte Codeausführung durch präparierte HTTP-Anfragen für Sicherheitstests und Schwachstellenüberprüfung ermöglicht.
Das Jetty-Projekt ist ein zu 100% in Java geschriebener HTTP-Server, HTTP-Client und Servlet-Container der Eclipse Foundation.
Jetty ist Open Source und steht unter der dualen Lizenz Apache 2.0 und Eclipse Public License 1.0. Sie können bei der Verteilung von Jetty eine der beiden Lizenzen wählen.
Das Ausführungsverzeichnis ist entweder die oberste Ebene einer binären Veröffentlichung oder das Verzeichnis jetty-distribution/target/distribution, wenn aus dem Quellcode erstellt.
Um mit den Standardoptionen auszuführen:
$ cd demo-base $ java -jar ../start.jar
Um die verfügbaren Optionen und die Standardargumente der Datei start.ini anzuzeigen:
$ java -jar /path/to/start.jar --help
Viele Jetty-Funktionen können mit dem Befehl --module aktiviert werden Zum Beispiel:
$ cd mybase $ java -jar /path/to/start.jar --module=https,deploy
Aktiviert vorübergehend die Module https und deploy (und ihre transitiven Abhängigkeiten) für diese spezifische Ausführung von Jetty.
Um zu sehen, welche Module verfügbar sind
$ java -jar /path/to/start.jar --list-modules
Die Eigenschaft jetty.base ist eine Eigenschaft, die in der Befehlszeile definiert werden kann (standardmäßig auf das, worauf die Java-Eigenschaft 'user.dir' verweist). Der start.jar-Mechanismus von Jetty konfiguriert Ihre Jetty-Instanz aus der Konfiguration, die in diesem jetty.base-Verzeichnis vorhanden ist.
Beispielsetup:
$ mkdir mybase
$ cd mybase
$ java -jar /path/to/jetty-dist/start.jar --add-to-start=http,deploy
$ java -jar /path/to/jetty-dist/start.jar
