CVE-2026-18661: обход ограничений доступа в Eclipse Jetty из-за некорректного слияния @ServletSecurity и web.xml

В Eclipse Jetty — популярном встраиваемом Java-сервлет-контейнере, используемом в тысячах корпоративных приложений, — выявлена уязвимость, связанная с некорректной обработкой правил авторизации Jakarta Servlet. Проблема получила идентификатор CVE-2026-18661 и оценку CVSS 8.8 (HIGH).

Подробности

Уязвимость затрагивает компоненты jetty-annotations и jetty-eeN-annotations в различных версиях Eclipse Jetty. Суть проблемы — в нарушении авторитетных правил сопоставления url-pattern, определённых спецификацией Jakarta Servlet. Согласно спецификации, при одновременном использовании аннотации @ServletSecurity и элемента security-constraint в web.xml для одного и того же url-pattern контейнер обязан применять правила согласованно и предсказуемо. Однако в уязвимых версиях Jetty эта логика нарушалась в конкретном сценарии:

• в web.xml для сервлета определено более одного url-pattern;
• при этом security-constraint применяется только к части этих шаблонов;
• параллельно используется аннотация @ServletSecurity.

В такой комбинации Jetty не применял авторитетные правила Jakarta для смешанных объявлений @ServletSecurity и security-constraint на одном url-pattern. Это могло привести к тому, что ограничения доступа, заданные разработчиком, не применялись к части URL-адресов — фактически открывая защищённые эндпоинты для неавторизованного доступа. Оценка CVSS 8.8 (HIGH) отражает потенциально серьёзные последствия: обход аутентификации или авторизации на уровне веб-приложения, что в ряде сценариев ведёт к раскрытию конфиденциальных данных или доступу к административным функциям. При этом эксплуатация требует наличия специфической конфигурации (смешанное использование аннотаций и web.xml с несколькими url-pattern у сервлета), что несколько снижает массовость атак, но не отменяет риска для проектов, использующих такой подход.

Что делать

Рекомендуется в первую очередь обновиться до актуальной стабильной версии Eclipse Jetty, в которой устранена проблема. Точные номера исправленных версий следует уточнить в официальных бюллетенях Eclipse Foundation и релизных нотах Jetty. Если немедленное обновление невозможно, примените следующие митигации:

• приведите конфигурацию безопасности к единообразию: не смешивайте @ServletSecurity и security-constraint в web.xml для одних и тех же url-pattern;
• убедитесь, что для сервлета с несколькими url-pattern правило security-constraint покрывает все шаблоны, либо задайте ограничения через аннотации полностью;
• проведите аудит существующих web.xml и аннотаций в приложениях на Jetty на предмет описанной конфигурации;
• дополнительно ограничьте доступ к потенциально уязвимым эндпоинтам на уровне reverse-proxy или WAF до момента обновления.

Итог: CVE-2026-18661 — серьёзная уязвимость обхода авторизации в Eclipse Jetty, проявляющаяся при неудачном сочетании аннотаций и web.xml. Приоритет исправления — высокий, особенно для приложений, где безопасность маршрутов задаётся смешанным способом. Обновление контейнера или приведение конфигурации к единому стилю закрывает вектор атаки.

Источник: CVE Project (cvelistV5)