- CNNVD编号：未知
- 危害等级： 中危
- CVE编号：CVE-2021-28164、CVE-2021-28169
- 漏洞类型： Jetty任意文件 下载漏洞
- 威胁类型：未知
- 厂 商：未知
- 漏洞来源：深信服
- 发布时间：2021-06-15
- 更新时间：2021-06-15
漏洞简介
1、组件介绍
Jetty是一个开源的servlet容器，它为基于Java的web容器，例如JSP和servlet提供运行环境。Jetty是使用Java语言编写的，它的API以一组JAR包的形式发布。开发人员可以将Jetty容器实例化成一个对象，可以迅速为一些独立运行（stand-alone）的Java应用提供网络和web连接。
2、漏洞描述
2021年6月10日，深信服安全团队监测到多个Jetty任意文件下载漏洞，官方已经修复漏洞，具体漏洞信息如下：
序号 | 漏洞名 | 漏洞编号 | 影响版本 | 严重等级 |
1 | Jetty任意文件 下载漏洞 | CVE-2021-28164 | 9.4.37 ≤ Jetty ≤ 9.4.38 | 中危 |
2 | Jetty任意文件 下载漏洞 | CVE-2021-28169 | Jetty ≤ 9.4.40 Jetty ≤ 10.0.2 Jetty ≤ 11.0.2 | 中危 |
CVE-2021-28164
该漏洞由于默认符合性模式允许具有包含%2e或%2e%2e的URI的请求，访问受保护的资源。攻击者可利用该漏洞在未授权情况下，构造恶意数据，最终可造成服务器敏感性信息泄露等。
CVE-2021-28169
该漏洞由于攻击者向ConcatServlet发起带有双重编码的URI请求，访问受保护的资源。攻击者可利用该漏洞在未授权情况下，构造恶意数据，最终可造成服务器敏感性信息泄露等。
漏洞公示
参考phith0n师傅的vulhub进行漏洞环境搭建，复现漏洞，效果如下：
CVE-2021-28164
CVE-2021-28169
参考网站
受影响实体
补丁
1、如何检测组件系统版本
访问根路径，查看响应包头部字段中的server字段，其中会包含Jetty的版本信息。
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
https://www.eclipse.org/jetty/download.php
3、深信服解决方案
【深信服下一代防火墙】可防御（CVE-2021-28164、CVE-2021-28169），建议用户将深信服下一代防火墙开启IPS防护策略，并更新最新安全防护规则，即可轻松抵御此高危风险。
【深信服安全感知平台】结合云端实时热点高危/紧急漏洞信息，可快速检出业务场景下的（CVE-2021-28164、CVE-2021-28169），并可联动【深信服下一代防火墙等产品】实现对攻击者IP的封堵。
【深信服安全云眼】预计2021年6月13日，可以完成（CVE-2021-28164、CVE-2021-28169）检测更新，对所有用户网站探测，保障用户安全。不清楚自身业务是否存在漏洞的用户，可注册信服云眼账号，获取30天免费安全体验。
注册地址：http://saas.sangfor.com.cn
【深信服云镜】预计2021年6月13日，完成（CVE-2021-28164、CVE-2021-28169）检测能力的发布，部署了云镜的用户可以通过升级来快速检测网络中是否受该高危风险影响，避免被攻击者利用。离线使用云镜的用户需要下载离线更新包来获得漏洞检测能力，可以连接云端升级的用户可自动获得漏洞检测能力。
