jetty-line-check

Votre installation de Jetty (ou le Jetty embarqué par Spring Boot) est-elle touchée par lesquelles de ces six CVE de 2026 — et la version que l'officiel vous demande de mettre à niveau existe-t-elle réellement sur Maven Central ?

Accent mis sur CVE-2026-2332 (GHSA-355h-qmc2-wpwf, high / CVSS v3 7.4) : la contrebande de requêtes chunked dans jetty-http. Le 2026-09-17, l'officiel a publié une autre CVE de la même famille, CVE-2026-19203 (contrebande LF EXT.TERM, high / CVSS v4 8.3) : sa branche 9.4 couvre jusqu'à 9.4.63, l'officiel vous demande de passer à 9.4.64 — et 9.4.64 est également 404 sur Central. Le fait le plus solide : les versions publiques corrigées des trois anciennes branches EOL 9.4 / 10 / 11 n'existent tout simplement pas — la page de sécurité officielle indique pour chacune see details for availability (= support commercial), et ces numéros de version renvoient tous 404 lors de tests réels sur Maven Central.

java -jar jetty-line-check.jar /path/to/jetty         # 解压部署的 Jetty(扫 lib/*.jar)
java -jar jetty-line-check.jar app.war                # war
java -jar jetty-line-check.jar app.jar                # Spring Boot fat jar
java -jar jetty-line-check.jar --table                # 只看六条 CVE × 模块 × 版本线的判定表
java -jar jetty-line-check.jar --utf8 ...             # Windows 控制台中文乱码时加

Critère : coordonnées + ligne de version → table de décision + détection du vrai jar sur Central

Le critère du projet frère tomcat-line-check est « le jar contient-il une certaine classe de correctif », car ce correctif de Tomcat ajoutait une nouvelle classe.

Ce n'est pas valable pour ces entrées de Jetty. Le correctif du principal CVE-2026-2332 modifie le corps de méthode de HttpParser, sans ajouter aucune classe (vérifié avant rédaction avec gh api compare + javap). Le critère ne peut donc être que :

Vos coordonnées complètes + ligne de version, quels CVE sont touchés ; et la version corrigée nommée officiellement, existe-t-elle réellement sur Maven Central.

La table de décision est générée par tools/gen_table.py à partir des vulnerabilities[] de six avis GitHub + détection HEAD du vrai jar sur Maven Central ; si les sept groupes d'assertions (contrôle positif / affirmation centrale / version finale de l'ancienne ligne / sentinelle / structure du principal / module scindé / notation) échouent, la table est refusée.

Les trois états de la disponibilité de la version corrigée (le cœur du sujet de cet outil)

Trois états	Signification
PUBLIC	l'avis nomme une version corrigée, et elle existe réellement sur Maven Central —— mise à niveau publique possible
404	l'avis nomme une version corrigée, mais elle renvoie 404 sur Central —— la page de sécurité officielle indique see details for availability (support commercial)
无	l'avis ne fournit pas du tout de version corrigée pour cette ligne (first_patched_version vide) —— pour corriger cette ligne, il faut migrer vers une version majeure supérieure

Toute cette zone de 404 et de 无 sur les anciennes lignes (9.4 / 10.0 / 11.0) est précisément la valeur de cet outil. Lancez --table pour voir l'ensemble.

Les six couvertes (toutes des avis org.eclipse.jetty reviewed, année 2026)

CVE	Module	Évaluation	En une phrase
CVE-2026-2332	jetty-http	high / v3 7.4	⭐ Principale : le \r\n dans une quoted-string chunked est traité comme fin d'en-tête de chunk → contrebande de requêtes (CWE-444)
CVE-2026-19203	jetty-http	high / v4 8.3	⭐ Suite de la même famille que 2332 (09-17) : le \n (LF) dans une extension de chunk est traité comme fin d'en-tête de chunk → contrebande (LF EXT.TERM) ; la branche 9.4 couverte jusqu'à 9.4.63
CVE-2026-5795	jaspi (12.x scindé en ee8/9/10/11-jaspi)	high / v3 7.4	Le ThreadLocal de JASPI n'est pas nettoyé → élévation de privilèges
CVE-2026-6790	jetty-server	medium / v3 5.3	Confusion entre Host / :authority en HTTP/2·3
CVE-2026-10050	jetty-security (12.x ajoute ee8/9-security)	high / v4 8.7	Traitement ISO-8859-1 de l'authentification Digest
CVE-2025-11143	jetty-http	low / v3 3.7	Différence d'analyse d'URI

🔴 La surface affectée des deux entrées de contrebande (2332 et 19203) tient la route (toutes deux sur le chemin principal d'analyse par défaut ServerConnector / HttpParser, sans nécessiter l'activation d'aucune fonctionnalité particulière). Les quatre autres ne sont qu'une ligne dans la table de décision :

• ⚠️ La ligne 12.1 de 19203 est une exception : 12.1.x en mode conforme RFC9110 par défaut n'est pas affecté, seul le mode explicitement configuré RFC7230 / RFC2616 est touché —— cet outil signale cette condition pour 12.1.x (dans --table et dans la sortie de scan), ne faites pas de faux positif sur un déploiement par défaut. Les lignes 9.4 / 10 / 11 / 12.0 sont touchées par défaut.
• La surface affectée de CVE-2026-10050 (Digest) est très réduite —— il faut activer explicitement l'authentification Digest pour la rencontrer, ne pas en faire l'argument principal.
• CVE-2026-6790 est medium, CVE-2025-11143 est low —— interdiction de les qualifier globalement de « critiques ».

Les limites du discours (cet outil ne les franchit pas, vous non plus)

• « Toucher l'intervalle affecté » est un fait sur l'artefact ; « vous serez attaqué » est autre chose. La formulation de cet outil est toujours la première.
• Les deux principales (CVE-2026-2332 / CVE-2026-19203) sont toutes deux de la contrebande de requêtes : il faut qu'il y ait devant un proxy frontal / LB, et que les deux extrémités interprètent la même requête de manière incohérente, pour qu'on puisse parler de danger. Sur un Jetty nu, on ne peut pas raconter d'histoire d'attaque —— ces deux CVE sont respectivement v3 7.4 / v4 8.3, ce n'est pas « quiconque l'installe est compromis ».
• « La base de vulnérabilités globale ne fournit pas l'intervalle » pour 19203 est un constat mesuré (à la date de publication) : son avis global vulnerabilities est vide, Dependabot signale « cette faille existe » mais ne peut pas dire « jusqu'où monter » ; l'intervalle n'existe que dans l'avis au niveau du dépôt. Une fois la base globale complétée, cette phrase devra être modifiée.
• « 404 sur Central » est un fait mesuré ; « l'officiel cache le correctif pour le vendre » est une phrase que vous ne devez pas prononcer à la place de l'officiel. La page officielle écrit elle-même see details for availability, point final.
• Ce n'est pas non plus « Jetty ne publie plus de versions » —— les lignes 12.0 / 12.1 sont toujours mises à jour, et les versions corrigées publiques de ces deux lignes sont sur Central.

Sources primaires

• Avis principal :https://github.com/advisories/GHSA-355h-qmc2-wpwf(2332, avec PoC exécutable et lien vers la recherche Funky Chunks)
• 19203 (suite de la même famille que 2332, LF EXT.TERM) : avis au niveau du dépôt https://github.com/jetty/jetty.project/security/advisories/GHSA-xc35-c22g-239h (la plage de versions et le PoC s'y trouvent ; le champ vulnerabilities de l'avis global GHSA-p2j5-5566-vpv9 est vide)
• Quatre autres :GHSA-r7p8-xq5m-436c · GHSA-7p3p-8qv8-m2vh · GHSA-2fvj-hgj9-j2gr · GHSA-wjpw-4j6x-6rwh
• Page de sécurité officielle (source de la mention see details for availability) :https://jetty.org/security.html
• Fin de vie des lignes de version :https://jetty.org/download.html

Régénération / vérification avant publication

python tools/gen_table.py --dry              # 只跑断言,不写文件
python tools/gen_table.py                    # 断言全过才写 CveTable.java
python tools/recheck_before_publish.py       # 发文当天重跑,主张失效就改文案别改判据

Compilation

mvn package      # 需要 JDK 17;运行时零依赖(JUnit 仅测试期)

Codes de sortie