CVE-2026-76182: уязвимость подстановки путей в Eclipse Jetty

В Eclipse Jetty — популярном Java-сервере и контейнере сервлетов, широко используемом в корпоративных приложениях, — выявлена уязвимость, получившая идентификатор CVE-2026-76182. Ей присвоен базовый балл CVSS 6.9, что соответствует среднему уровню критичности. Проблема связана с тем, как Jetty обрабатывает пути запросов при перенаправлении на шаблонные URI.

Подробности

Уязвимость затрагивает компоненты TryPathsHandler и TryFilesFilter в Eclipse Jetty. Эти компоненты могут быть настроены на перенаправление запросов к шаблонным URI вида index?p=$path, где $path подставляется как путь запроса в контексте. Однако пути URI могут содержать символы, зарезервированные в query-части URI (в частности, символ &). В результате при подстановке пути, например /s&a=1, в шаблон получается строка index?p=/s&a=1. Такая строка интерпретируется уже не как один параметр p со значением /s&a=1, а как два отдельных параметра: p=/s и a=1. Эта особенность разбора URI позволяет манипулировать набором параметров, передаваемых в целевую конечную точку. В зависимости от логики приложения это может привести к подмене значений параметров, обходу проверок или иным нежелательным эффектам. Уязвимость относится к категории проблем с некорректной обработкой входных данных (CWE-20), а также может рассматриваться как разновидность инъекции параметров (HTTP Parameter Pollution). Следует отметить, что для эксплуатации требуется, чтобы администратор настроил TryPathsHandler или TryFilesFilter с шаблоном, использующим подстановку $path в query-части URI. В такой конфигурации любой запрос с зарезервированными символами в пути может быть разобран некорректно.

Что делать

Eclipse Foundation выпустила исправления для затронутых версий Jetty. Рекомендуется:

• Обновить Eclipse Jetty до версии, содержащей исправление для CVE-2026-76182 (см. официальный бюллетень проекта).
• Если обновление невозможно, проверить конфигурации TryPathsHandler и TryFilesFilter: не использовать подстановку $path в query-части шаблонного URI либо применять корректное экранирование зарезервированных символов.
• Провести ревизию downstream-приложений, которые полагаются на разбор параметров из перенаправленных запросов, на предмет устойчивости к HTTP Parameter Pollution.
• Мониторить логи на предмет подозрительных запросов с символами &, = и другими зарезервированными символами в путях.

Итог

CVE-2026-76182 — уязвимость средней критичности в Eclipse Jetty, связанная с некорректной интерпретацией зарезервированных символов при подстановке пути в шаблонные URI. Она не эксплуатируется удалённо без специальной конфигурации, однако при её наличии может позволить манипулировать параметрами запросов. Рекомендуется как можно скорее обновить Jetty и пересмотреть настройки обработчиков, использующих подстановку $path.

Источник: CVE Project (cvelistV5)