jetty-line-check

Какие из шести CVE 2026 года затрагивают ваш Jetty (или Jetty, притянутый Spring Boot) — и существует ли вообще на Maven Central та версия, которую официально рекомендуют обновить?

В центре внимания — CVE-2026-2332 (GHSA-355h-qmc2-wpwf, high / CVSS v3 7.4): контрабанда chunked-запросов в jetty-http. 2026-09-17 официально выпущен CVE-2026-19203 из того же семейства (контрабанда LF EXT.TERM, high / CVSS v4 8.3): его ветка 9.4 покрывает версии вплоть до 9.4.63, официально рекомендуется обновиться до 9.4.64 — а 9.4.64 на Central также 404. Самый жёсткий факт: публичных исправленных версий для трёх старых EOL-веток 9.4 / 10 / 11 попросту не существует — официальная страница безопасности по каждой из них пишет see details for availability (= коммерческая поддержка), а все эти номера версий на Maven Central по факту дают 404.

java -jar jetty-line-check.jar /path/to/jetty         # 解压部署的 Jetty(扫 lib/*.jar)
java -jar jetty-line-check.jar app.war                # war
java -jar jetty-line-check.jar app.jar                # Spring Boot fat jar
java -jar jetty-line-check.jar --table                # 只看六条 CVE × 模块 × 版本线的判定表
java -jar jetty-line-check.jar --utf8 ...             # Windows 控制台中文乱码时加

Критерий: координаты + линейка версий → таблица решений + зондирование реальных jar в Central

Критерий в родственном проекте tomcat-line-check — «есть ли в jar некий класс с исправлением», потому что то исправление в Tomcat добавило новый класс.

Для этих случаев Jetty это не работает. Основной CVE-2026-2332 — его исправление меняет тело метода HttpParser, не добавляя ни одного класса (до сборки это подтверждено через gh api compare + javap). Поэтому критерий может быть только таким:

Какие CVE попадают под ваши полные координаты + линейку версий; и существуют ли вообще официально указанные исправленные версии на Maven Central.

Таблица решений генерируется tools/gen_table.py из vulnerabilities[] шести GitHub advisory + зондирования HEAD реальных jar на Maven Central, и отказывается выдавать таблицу, если не проходят семь групп утверждений (положительный контроль / ключевое утверждение / финальная версия старой линейки / сторожевой тест / структура основного случая / разделённые модули / рейтинг).

Три состояния доступности исправленных версий (ядро этого инструмента)

Три состояния	Значение
PUBLIC	advisory указывает исправленную версию, и она действительно есть на Maven Central — публично доступна для обновления
404	advisory указывает исправленную версию, но на Central она даёт 404 — на официальной странице безопасности написано see details for availability (коммерческая поддержка)
无	advisory вообще не даёт исправленной версии для этой линейки (first_patched_version пуст) — исправить эту линейку можно только переходом на старшую мажорную версию

Вся эта россыпь 404 и 无 для старых линеек (9.4 / 10.0 / 11.0) — в этом и ценность инструмента. Запустите --table, чтобы увидеть полную картину.

Покрытые шесть (все — reviewed advisory для org.eclipse.jetty, 2026 год)

CVE	Модуль	Рейтинг	Кратко
CVE-2026-2332	jetty-http	high / v3 7.4	⭐ Основное: \r\n в chunked quoted-string воспринимается как конец заголовка чанка → контрабанда запросов (CWE-444)
CVE-2026-19203	jetty-http	high / v4 8.3	⭐ Продолжение того же семейства, что и 2332 (09-17): \n (LF) в расширении чанка воспринимается как конец заголовка чанка → контрабанда (LF EXT.TERM); ветка 9.4 затронута вплоть до 9.4.63
CVE-2026-5795	jaspi (в 12.x разделён на ee8/9/10/11-jaspi)	high / v3 7.4	ThreadLocal в JASPI не очищается → повышение привилегий
CVE-2026-6790	jetty-server	medium / v3 5.3	Путаница Host / :authority в HTTP/2·3
CVE-2026-10050	jetty-security (в 12.x добавлен ee8/9-security)	high / v4 8.7	Обработка ISO-8859-1 в Digest-аутентификации
CVE-2025-11143	jetty-http	low / v3 3.7	Различия в разборе URI

🔴 Зона поражения двух случаев контрабанды (2332 и 19203) обоснована (оба лежат на основном пути разбора по умолчанию через ServerConnector / HttpParser, не требуя включения каких-либо специальных функций). Остальные четыре — лишь строка в таблице решений:

• ⚠️ 19203, линейка 12.1 — исключение: 12.1.x в режиме соответствия RFC9110 по умолчанию не затронута, попадает только при явной настройке RFC7230 / RFC2616 — инструмент для 12.1.x отмечает это условие (есть и в --table, и в выводе сканирования), не давайте ложных срабатываний для развёртываний по умолчанию. А линейки 9.4 / 10 / 11 / 12.0 поражаются по умолчанию.
• CVE-2026-10050 (Digest) — зона поражения очень мала: нужно явно включить Digest-аутентификацию, чтобы до неё добраться; не подавайте это как главный аргумент.
• CVE-2026-6790 — medium, CVE-2025-11143 — low — нельзя обобщённо называть их «высокой опасностью».

Границы высказываний (инструмент их не переступает, и вы не переступайте)

• «Попадание в затронутый диапазон» — это факт об артефакте; «вас атакуют» — это другое. Формулировки инструмента всегда первые.
• Оба основных случая (CVE-2026-2332 / CVE-2026-19203) — контрабанда запросов: нужен ещё фронтальный прокси / LB впереди, и чтобы обе стороны интерпретировали один и тот же запрос по-разному, только тогда можно говорить о вреде. На голом Jetty историю атаки не рассказать — у этих двух CVSS v3 7.4 / v4 8.3 соответственно, это не «кто установил, тот и пострадал».
• «Глобальная база уязвимостей не даёт диапазон для 19203» — это измеренный факт (на день публикации): в её глобальном advisory vulnerabilities пуст, Dependabot сообщает «есть такая дыра», но не говорит «до какой версии обновляться»; диапазон есть только в advisory уровня репозитория. Как только глобальная база это дополнит, эту фразу нужно будет изменить.
• «404 на Central» — измеренный факт; «официальные лица прячут патч, чтобы продавать» — это то, чего вы не должны говорить за официальных лиц. На официальной странице написано see details for availability — и на этом всё.
• Это также не «Jetty перестал выпускать версии» — линейки 12.0 / 12.1 по-прежнему обновляются, публичные исправленные версии для этих двух линеек есть на Central.

Первоисточники

• Основной advisory:https://github.com/advisories/GHSA-355h-qmc2-wpwf(2332, включает рабочий PoC и ссылку на исследование Funky Chunks)
• 19203(продолжение того же семейства, что и 2332, LF EXT.TERM):на уровне репозитория https://github.com/jetty/jetty.project/security/advisories/GHSA-xc35-c22g-239h(диапазон и PoC здесь; в глобальном GHSA-p2j5-5566-vpv9 поле vulnerabilities пустое)
• Ещё четыре:GHSA-r7p8-xq5m-436c · GHSA-7p3p-8qv8-m2vh · GHSA-2fvj-hgj9-j2gr · GHSA-wjpw-4j6x-6rwh
• Официальная страница безопасности(источник see details for availability):https://jetty.org/security.html
• EOL веток версий:https://jetty.org/download.html

Повторная генерация / проверка перед публикацией

python tools/gen_table.py --dry              # 只跑断言,不写文件
python tools/gen_table.py                    # 断言全过才写 CveTable.java
python tools/recheck_before_publish.py       # 发文当天重跑,主张失效就改文案别改判据

Сборка

mvn package      # 需要 JDK 17;运行时零依赖(JUnit 仅测试期)

Коды выхода

Код	Значение
0	Сканирование завершено, и каждый файл действительно был прочитан
2	Ошибка использования (не указан путь)
4	Есть файлы, которые не удалось прочитать — не zip, содержимое усечено или ошибка чтения