Das BSI hat sein Advisory WID-SEC-2026-3992 zu Eclipse Jetty am 22.10.2026 aktualisiert. Die Eclipse Jetty Schwachstellen betreffen fünf Versionszweige; mit Red Hat Enterprise Linux steht seit dem Update ein Distributionseintrag in der Produktliste, der in der Erstveröffentlichung vom 16.10.2026 noch fehlte. Der Base Score liegt bei 8.2 (hoch), der temporale Score bei 7.4 — beide Werte stehen im Advisory des BSI, das den Angriff als remote ausführbar einstuft.
Eclipse Jetty Schwachstellen: fünf Versionszweige bleiben offen
Anfällig sind Eclipse Jetty unter 12.1.13, unter 12.0.39, unter 11.0.33, unter 10.0.33 und unter 9.4.65. Als mögliche Folgen nennt das BSI Dateimanipulation, die Offenlegung von Informationen und die Umgehung von Sicherheitsvorkehrungen. Betroffene Plattformen sind Linux, UNIX, Windows und „Sonstiges"; eine Mitigation weist das Advisory mit „ja" aus.
Jetty läuft als Servlet-Container und HTTP-Bibliothek tief in vielen Java-Stacks — in eingebetteten Setups, Applikationsservern und Microservices. Die Lücken betreffen damit selten ein einzeln administriertes Produkt, sondern Bibliotheken, die von anderer Software mitgezogen werden.
Request Smuggling, Auth-Bypass und Credential-Leaks
Welche Schwachstellenklassen hinter dem Advisory stecken, lässt sich über die Release Notes der Jetty-11.0.x-Linie nachvollziehen — zu beachten ist dabei, dass diese Dokumentation vom kommerziellen Jetty-Support des Anbieters HeroDevs stammt und kein Eclipse-eigener Changelog ist. Version 11.0.33 vom 15.10.2026 schließt dort 16 Schwachstellen. Darunter sind mehrere Servlet-Autorisierungs-Bypässe: CVE-2026-18659 (Umgehung von Authorization-Constraints über HTTP-Methoden-Substrings), CVE-2026-18662 (doppelte http-method-omission-Mappings) und CVE-2026-18661 (Unterdrückung von @ServletSecurity durch überlappende Web-Descriptor-Einträge). Dazu kommen zwei Credential-Leaks im HttpClient — CVE-2026-77711 (Proxy-Zugangsdaten im Tunnel) und CVE-2026-76184 (Zugangsdaten über Pfadgrenzen nach einem Dot-Segment-Redirect) — sowie CVE-2026-19864, bei dem SessionAuthentication Klartext-Passwörter im Session-Store ablegt. CVE-2026-76182 betrifft eine Query-Parameter-Injection im FCGI-TryFilesFilter.
Der Request-Smuggling-Anteil verteilt sich auf mehrere Releases. CVE-2026-19203 in 11.0.32 (August 2026) beschreibt laxes Parsen von LF-Terminatoren in Chunked-Extensions innerhalb von jetty-http; CVE-2026-2332 in 11.0.29 (April 2026) betrifft das Parsen von Quoted Strings in Chunked-Extensions. Dieselbe Version 11.0.32 adressiert mit CVE-2026-19204 einen reservierten WebSocket-Opcode, der das Frame-Size-Limit umgeht und in Out-of-Memory münden kann, sowie CVE-2025-11143, eine fehlerhafte URI-Validierung mit Blocklist-Bypass. In 11.0.31 steckt CVE-2026-10050, ein Digest-Auth-Bypass über eine Zeichenkodierungs-Kollision in ISO-8859-1, in 11.0.30 CVE-2026-6790, eine fehlende Prüfung der Request-Authority gegen den Host-Header.
Warum Request Smuggling hier mehr ist als ein Parser-Fehler
Chunk-Extensions sind ein Nebenschauplatz der HTTP/1.1-Spezifikation, den viele Parser großzügig behandeln. Genau diese Großzügigkeit ist das Problem: Wenn Jetty und ein vorgelagerter Reverse Proxy Chunk-Grenzen unterschiedlich interpretieren, entsteht ein zweiter Request im Datenstrom, den der Proxy nicht sieht. Daraus folgen klassische Ketteneffekte — das Umgehen von Proxy-Zugriffsregeln, das Verschmutzen von Caches oder das Einschleusen von Anfragen in die Session eines anderen Nutzers. Die Servlet-Auth-Bypässe aus 11.0.33 wirken in dieselbe Richtung: Sie hebeln die Regeln aus, die eigentlich vor dem Endpunkt stehen sollen.
Debian hängt hinterher: 9.4.57 gegen 9.4.65
Der Abstand zwischen Advisory und Paketstand ist der praktisch relevante Teil. Debian liefert jetty9 in bookworm als 9.4.57-1.1~deb12u1 und in trixie als 9.4.57-1.1~deb13u1, in forky und sid als 9.4.58-2 — alle unterhalb der vom BSI genannten Fix-Version 9.4.65. Für diese Stände führt Debian unter anderem CVE-2026-2332, CVE-2026-19203 und CVE-2026-77711 weiterhin als offen — dieselben Einträge, die upstream längst geschlossen sind.
Bei der 12.0.x-Linie ist das Bild gemischt. Für trixie (12.0.17-3.1~deb13u1) markiert Debian eine lange Liste weiterhin offener CVEs, darunter CVE-2026-2332, CVE-2026-77711, CVE-2026-19203 und CVE-2026-10050. In forky (12.0.33-1) markiert Debian nur CVE-2026-2332 als behoben und den Rest als anfällig; in sid (12.0.40-1) führt Debian alle gelisteten Einträge als „fixed". Für die 12.0.x-Pakete hat Debian zusätzlich das Sicherheitsupdate DSA-6006-1 veröffentlicht.
Was Betroffene jetzt tun sollten
Die Fix-Versionen sind klar benannt: 12.1.13, 12.0.39, 11.0.33, 10.0.33 und 9.4.65. Wer Jetty eingebettet betreibt — in Applikationsservern oder eigenen Servlet-Setups —, muss das JAR selbst tauschen, nicht das Distributionspaket.
Ein Punkt bleibt offen: Das BSI führt 12.1.13 als Fix-Version und behandelt damit auch 12.1.12 als anfällig. Die Paketdatenbank von Snyk listet für jetty-ee11-servlet die Bereiche [12.0.0-alpha0, 12.0.39) und [12.1.0-alpha0, 12.1.12) als verwundbar und führt 12.1.12, 12.1.13 und 12.1.14 ohne direkte Schwachstellen — diese Einstufung bezieht sich auf die dort erfassten CVEs, nicht auf die vollständige BSI-Liste. Wer die Unschärfe vermeiden will, nimmt die höchste verfügbare Version des eigenen Zweigs.
Für Debian-Nutzer bleibt bis zu einem Paket oberhalb der Fix-Version nur, die betroffene Anwendung nicht aus dem Internet erreichbar zu betreiben. Die Request-Smuggling-Einträge und die Auth-Bypässe aus 11.0.33 greifen an derselben Stelle: an den Regeln, mit denen Reverse Proxy und Servlet-Container Anfragen vor dem Endpunkt filtern.