jetty-line-check

あなたのこの Jetty(または Spring Boot に持ち込まれた Jetty)は、2026 年のこの 5 件の CVE のうちどれに該当するのか —— そして公式がアップグレードしろと言うそのバージョンは、Maven Central に本当に存在するのか?

主軸は CVE-2026-2332(GHSA-355h-qmc2-wpwf、high / CVSS v3 7.4):jetty-http の chunked リクエストスマグリング。 最も硬い事実:9.4 / 10 / 11 という EOL の 3 本の旧ラインには、公開された修正版がそもそも存在しない —— 公式セキュリティページにはそれらについて一行ずつ see details for availability(= 商用サポート)と書かれており、それらのバージョン番号は Maven Central 上で実測すべて 404。

java -jar jetty-line-check.jar /path/to/jetty         # 解凍してデプロイした Jetty(lib/*.jar をスキャン)
java -jar jetty-line-check.jar app.war                # war
java -jar jetty-line-check.jar app.jar                # Spring Boot fat jar
java -jar jetty-line-check.jar --table                # 5 件の CVE × モジュール × バージョンラインの判定表だけを見る
java -jar jetty-line-check.jar --utf8 ...             # Windows コンソールで中国語が文字化けする場合に付ける

判定基準:座標 + バージョンライン → 判定表 + Central の実 jar プローブ

姉妹プロジェクト tomcat-line-check の判定基準は「jar の中に特定の修正クラスがあるかどうか」だった。 なぜなら Tomcat のあの修正は新しいクラスを 1 つ追加したからだ。

Jetty のこれらはその手が使えない。 主軸の CVE-2026-2332 は、その修正が HttpParser のメソッド本体を変更するもので、新しいクラスは一切追加していない (ビルド前に gh api compare + javap で裏取り済み)。したがって判定基準はこれしかない:

あなたの完全な座標 + バージョンラインが、どの CVE に該当するか;そして公式が名指しした修正版が、Maven Central に本当に存在するか。

判定表は tools/gen_table.py が5 件の GitHub advisory の vulnerabilities[] + Maven Central の実 jar HEAD プローブから生成し、 7 組のアサーション(陽性対照 / 中核的主張 / 旧ラインの最終版 / センチネル / 主軸の構造 / 分裂モジュール / レーティング)が通らなければ表の出力を拒否する。

修正版入手可否の三態(本ツールの硬核)

旧ライン(9.4 / 10.0 / 11.0)のあの一帯の 404 と 無 こそが、本ツールの価値の所在である。--table を実行して全体像を見よ。

カバーする 5 件(すべて org.eclipse.jetty の reviewed advisory、2026 年)

🔴 影響面が筋の通るのは主軸の 2332 だけ(スマグリング経路は ServerConnector / HttpParser というデフォルト解析の主経路に乗っており、 特定機能を有効化する必要がない)。残り 4 件は判定表の 1 行として扱うのみ:

• CVE-2026-10050(Digest)の影響面は非常に小さい —— Digest 認証を明示的に有効化しないと触れない。主な売りにしてはならない。
• CVE-2026-6790 は medium、CVE-2025-11143 は low —— まとめて「高危険」と呼んではならない。

言説の境界(本ツールは越えない、あなたも越えるな)

• 「影響を受ける区間に該当する」は成果物の事実;「あなたが攻撃される」はまた別の話。 本ツールの文言は一貫して前者である。
• 主軸の CVE-2026-2332 はリクエストスマグリング: 手前にフロントエンドプロキシ / LB がもう 1 つあり、かつ両端が同一リクエストを異なる解釈で処理して、 初めて危害の話になる。素の Jetty 単体では攻撃ストーリーを語れない —— この CVSS は 7.4 であって、「入れた者が即終わり」ではない。
• 「Central 上で 404」は実測事実;「公式がパッチを隠して売っている」はあなたが公式の代わりに言ってはならないこと。 公式ページ自身が書いているのは see details for availability、それまでである。
• また「Jetty がリリースを止めた」わけでもない —— 12.0 / 12.1 ラインは今も更新されており、その 2 本のラインの公開修正版はどちらも Central 上にある。

一次ソース

• 主軸 advisory:https://github.com/advisories/GHSA-355h-qmc2-wpwf(実行可能な PoC と Funky Chunks 研究へのリンクを含む)
• 残り 4 件:GHSA-r7p8-xq5m-436c · GHSA-7p3p-8qv8-m2vh · GHSA-2fvj-hgj9-j2gr · GHSA-wjpw-4j6x-6rwh
• 公式セキュリティページ(see details for availability の出典):https://jetty.org/security.html
• バージョンライン EOL:https://jetty.org/download.html

再生成 / 公開前の再確認

python tools/gen_table.py --dry              # アサーションだけ実行、ファイルは書かない
python tools/gen_table.py                    # アサーションが全て通れば CveTable.java を書く
python tools/recheck_before_publish.py       # 公開当日に再実行、主張が失効したら文言を直し判定基準は変えない

ビルド

mvn package      # JDK 17 が必要;実行時依存ゼロ(JUnit はテスト時のみ)

終了コード

🔴 4 の理由: 痕跡は人間が見るものだが、CI とスクリプトが見るのは終了コードである。これがなければ、破損 / 暗号化 / ダウンロード不完全な jar が 静かに「問題は見つかりませんでした」の一言に化けてしまう ——「私はそれを読めない」と「あなたは安全である」は必ず別の言葉でなければならない。 ⚠️ 正当な空 jar(22 バイトの EOCD レコード 1 つ)は読めない扱いにはならず、4 をトリガーしない。

License

MIT