False positive — Multiple Undertow CVEs reported but Undertow is not present in scanned artifact
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 5/5
- Temps estimé
- Plus d'une semaine
- Accessibilité débutants
- 30/100
Piste de recherche
Le rapport n’identifie aucun fichier du dépôt ni aucun test. Commencez par reproduire une analyse Xray pour l’application Java et inspecter son arbre de dépendances ; la tâche est considérée comme terminée lorsqu’aucun CVE Undertow n’est présent si io.undertow:undertow-core est absent, tandis que Jetty reste correctement identifié.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Describe the bug
Xray reports 9 Undertow CVEs against our project. However, io.undertow:undertow-core is NOT present in our delivery at all. The project uses Eclipse Jetty (9.4.58) as its HTTP server via Apache Karaf's Pax Web integration. There is no Undertow dependency, no AJP listener, and no XNIO anywhere in the dependency chain.
The scanner appears to be making a broad or incorrect component association.
CVEs incorrectly reported:
| CVE | Severity | Vulnerability | Advisory |
|---|---|---|---|
| CVE-2023-1973 | HIGH | Undertow memory exhaustion DoS | https://bugzilla.redhat.com/show_bug.cgi?id=2185662 |
| CVE-2024-3884 | HIGH | Undertow FormEncodedDataDefinition OOM | https://bugzilla.redhat.com/show_bug.cgi?id=2275287 |
| CVE-2024-4027 | HIGH | Undertow getParameterNames() OOM | https://bugzilla.redhat.com/show_bug.cgi?id=2276410 |
| CVE-2024-5971 | HIGH | Undertow chunked response DoS | https://bugzilla.redhat.com/show_bug.cgi?id=2292211 |
| CVE-2024-6162 | HIGH | Undertow AJP listener path confusion | https://bugzilla.redhat.com/show_bug.cgi?id=2293069 |
| CVE-2024-7885 | HIGH | Undertow Proxy Protocol info leakage | https://bugzilla.redhat.com/show_bug.cgi?id=2305290 |
| CVE-2025-9784 | HIGH | Undertow MadeYouReset DoS | https://nvd.nist.gov/vuln/detail/CVE-2025-9784 |
| CVE-2025-12543 | CRITICAL | Undertow Host header validation bypass | https://nvd.nist.gov/vuln/detail/CVE-2025-12543 |
| CVE-2026-3260 | HIGH | Undertow multipart/form-data DoS | https://bugzilla.redhat.com/show_bug.cgi?id=2443010 |
| CVE-2026-28369 | CRITICAL | Undertow HTTP request smuggling | https://bugzilla.redhat.com/show_bug.cgi?id=2443262 |
To Reproduce
Xray scan a Java application that uses Eclipse Jetty (not Undertow) as its HTTP server. Scanner reports Undertow CVEs despite the artifact not containing any Undertow dependencies.
Expected behavior
These CVEs should not be reported when io.undertow:undertow-core is not present in the scanned artifact's dependency tree. The project uses a completely different HTTP server (Jetty via Pax Web).
Versions
- Package: io.undertow:undertow-core — NOT PRESENT
- HTTP server actually used: org.eclipse.jetty:jetty-server:9.4.58 (via Pax Web 8.0.35)
- Container: Apache Karaf (OSGi)
Additional context
Verified via source code search: zero references to Undertow, XNIO, or AJP listener in the entire project. The scanner may be confusing artifact metadata or making overly broad vendor-level associations.
- Langage dominant
- Java
- Étoiles
- 331
- Forks
- 164
- Merge moyen
- 20 h 9 min
- PR mergées (30 j)
- 1
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Propose un modèle de pull request
- Aucun guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de jfrog/artifactory-client-java
-
Timeout unit not specifiedPeut-être à nouveau libre Une pull request pour cette issue a été fermée sans être fusionnée. Ouverte
Difficulté 2/5 1-3 heures Accessibilité débutants 65/100
jfrog/artifactory-client-java#450 · 2 commentaires ·
-
question
Difficulté 2/5 1-3 heures Accessibilité débutants 62/100
jfrog/artifactory-client-java#375 ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 35/100
jfrog/artifactory-client-java#448 ·
-
Difficulté 3/5 1-2 jours Accessibilité débutants 45/100
jfrog/artifactory-client-java#447 ·
-
Difficulté 4/5 3-5 jours Accessibilité débutants 35/100
jfrog/artifactory-client-java#445 ·
Toutes les issues de jfrog/artifactory-client-java
Issues similaires
-
Difficulté 1/5 Moins d'une heure Accessibilité débutants 90/100
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 82/100
apache/rocketmq-dashboard#6896 ·
Les mainteneurs répondent en général sous 3 jours
-
Difficulté 2/5 1-3 heures Accessibilité débutants 67/100
-
Unrecognized database schema version is treated as a pre-2.0 databasePeut-être pris Une pull request liée à cette issue est ouverte ou déjà fusionnée. Ouvertebug
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
OpenIntegrationEngine/engine#496 ·
Les mainteneurs répondent en général sous 1 jour
-
enhancement good first issue
Difficulté 2/5 1-3 heures Accessibilité débutants 76/100
SasanLabs/VulnerableApp#836 ·
Les mainteneurs répondent en général sous 1 jour