CVE-2021-28165

Versões do Eclipse Jetty de 7.2.2 a 9.4.38

Versões do Eclipse Jetty de 10.0.0.alpha0 a 10.0.1

Versões do Eclipse Jetty de 11.0.0.alpha0 a 11.0.1

O problema está relacionado a um consumo descontrolado de recursos no Eclipse Jetty, o que pode fazer com que o uso da CPU atinja 100% ao receber um quadro TLS inválido de grande tamanho. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. O problema ocorre ao usar SSL/TLS com o Jetty, seja com HTTP/1.1, HTTP/2 ou WebSocket, e o servidor recebe um quadro TLS inválido de grande tamanho que é tratado incorretamente.

Para as versões do Eclipse Jetty 7.2.2 a 9.4.38, 10.0.0.alpha0 a 10.0.1 e 11.0.0.alpha0 a 11.0.1, uma solução alternativa pode ser aplicada compilando e implantando a classe SpaceCheckingSslConnectionFactory, que verifica se o comprimento máximo do buffer criptografado foi excedido e lança uma exceção SSLHandshakeException. Essa classe pode ser implantada colocando o arquivo de classe resultante em um arquivo jar, disponibilizando-o para o servidor e editando os arquivos ssl.mod e jetty-https.xml para referenciar a nova classe.

Reinicie o Jetty após aplicar as alterações.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.