„`html
Zusammenfassung
CVE-2026-10051 ist eine HTTP-Trailer-Verwaltungsschwachstelle in Eclipse Jetty mit hohem Schweregrad (CVSS 7.5). Die Anfälligkeit ermöglicht es, dass HTTP/1.1-Request-Trailer über persistente Verbindungen fehlerhaft beibehalten und zwischen Anfragen ausgetauscht werden. Dies kann zu Datenlecks und Sicherheitsverletzungen führen.
Betroffene Systeme
Betroffen ist Eclipse Jetty – ein weit verbreiteter Open-Source-Web-Server und Servlet-Container. Die Anfälligkeit tritt auf, wenn folgende Bedingungen erfüllt sind:
- HTTP/1.1-Verbindungen mit aktivierter Trailer-Unterstützung
- Wiederverwendung von TCP-Verbindungen (Connection Keep-Alive)
- Mehrere sequenzielle HTTP-Requests über dieselbe Verbindung
Technische Details
Der Fehler liegt im State-Management von HTTP-Trailers. Trailers sind HTTP-Header-Felder, die nach dem Message-Body übertragen werden und in HTTP/1.1 durch den „Trailer“-Header ankündigt werden.
Das Problem manifestiert sich wie folgt:
- Erste Anfrage mit Trailers: Server speichert diese zwischengespeichert ab
- Zweite Anfrage ohne Trailers: Server meldet trotzdem die Trailer der ersten Anfrage
- Zweite Anfrage mit Trailers: Server kombiniert Trailer beider Requests
Dies führt zu Trailer-Header-Vermischung über Anfragegrenzen hinweg. Sensitive Daten aus Trailers eines Requests können dadurch für nachfolgende Requests sichtbar werden.
Empfohlene Massnahmen
- Priorität 1: Patches einspielen sobald verfügbar – Eclipse hat Fixes angekündigt
- Priorität 2: Trailers auf Applikationsebene validieren und bereinigen
- Interim-Maßnahmen: HTTP-Keep-Alive deaktivieren (mit Performance-Impakt) oder Jetty-Version upgraden
- Monitoring: Logs auf anomale Trailer-Header überprüfen
- Audit: Bestehende Verbindungsprotokolle und sensitiv übertragene Daten in Trailers überprüfen
Bewertung
Mit CVSS 7.5 und Netzwerkvektor ist dies eine ernst zu nehmende Schwachstelle. Sie ermöglicht Information Disclosure ohne Authentifizierung. Der Verfügbarkeitsfix durch den Hersteller reduziert das Risiko. Eine zeitnahe Patching-Strategie ist erforderlich.
„`