False positive — Multiple Undertow CVEs reported but Undertow is not present in scanned artifact
まだ誰も着手していません。
評価
調査の方向性
レポートでは、リポジトリのファイルもテストも特定されていません。まず Java アプリケーションの Xray スキャンを再現し、その依存関係ツリーを調査してください。io.undertow:undertow-core が存在しない場合に Undertow の CVE が存在せず、同時に Jetty が引き続き正しく識別されれば完了です。
索引モデルが issue の本文から書いたものです。
説明
Describe the bug
Xray reports 9 Undertow CVEs against our project. However, io.undertow:undertow-core is NOT present in our delivery at all. The project uses Eclipse Jetty (9.4.58) as its HTTP server via Apache Karaf's Pax Web integration. There is no Undertow dependency, no AJP listener, and no XNIO anywhere in the dependency chain.
The scanner appears to be making a broad or incorrect component association.
CVEs incorrectly reported:
| CVE | Severity | Vulnerability | Advisory |
|---|---|---|---|
| CVE-2023-1973 | HIGH | Undertow memory exhaustion DoS | https://bugzilla.redhat.com/show_bug.cgi?id=2185662 |
| CVE-2024-3884 | HIGH | Undertow FormEncodedDataDefinition OOM | https://bugzilla.redhat.com/show_bug.cgi?id=2275287 |
| CVE-2024-4027 | HIGH | Undertow getParameterNames() OOM | https://bugzilla.redhat.com/show_bug.cgi?id=2276410 |
| CVE-2024-5971 | HIGH | Undertow chunked response DoS | https://bugzilla.redhat.com/show_bug.cgi?id=2292211 |
| CVE-2024-6162 | HIGH | Undertow AJP listener path confusion | https://bugzilla.redhat.com/show_bug.cgi?id=2293069 |
| CVE-2024-7885 | HIGH | Undertow Proxy Protocol info leakage | https://bugzilla.redhat.com/show_bug.cgi?id=2305290 |
| CVE-2025-9784 | HIGH | Undertow MadeYouReset DoS | https://nvd.nist.gov/vuln/detail/CVE-2025-9784 |
| CVE-2025-12543 | CRITICAL | Undertow Host header validation bypass | https://nvd.nist.gov/vuln/detail/CVE-2025-12543 |
| CVE-2026-3260 | HIGH | Undertow multipart/form-data DoS | https://bugzilla.redhat.com/show_bug.cgi?id=2443010 |
| CVE-2026-28369 | CRITICAL | Undertow HTTP request smuggling | https://bugzilla.redhat.com/show_bug.cgi?id=2443262 |
To Reproduce
Xray scan a Java application that uses Eclipse Jetty (not Undertow) as its HTTP server. Scanner reports Undertow CVEs despite the artifact not containing any Undertow dependencies.
Expected behavior
These CVEs should not be reported when io.undertow:undertow-core is not present in the scanned artifact's dependency tree. The project uses a completely different HTTP server (Jetty via Pax Web).
Versions
- Package: io.undertow:undertow-core — NOT PRESENT
- HTTP server actually used: org.eclipse.jetty:jetty-server:9.4.58 (via Pax Web 8.0.35)
- Container: Apache Karaf (OSGi)
Additional context
Verified via source code search: zero references to Undertow, XNIO, or AJP listener in the entire project. The scanner may be confusing artifact metadata or making overly broad vendor-level associations.
- 主要言語
- Java
- スター
- 331
- フォーク
- 164
- 平均マージ
- 20時間 9分
- マージ済み PR（30日）
- 1
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートあり
- コントリビューションガイドなし
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
jfrog/artifactory-client-java のほかの issue
-
Timeout unit not specified再び着手できるかも このイシューのプルリクエストはマージされずにクローズされました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
jfrog/artifactory-client-java#450 · コメント 2 件 ·
-
question
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
jfrog/artifactory-client-java#375 ·
-
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
jfrog/artifactory-client-java#448 ·
-
難易度 3/5 1〜2日 初心者へのやさしさ 45/100
jfrog/artifactory-client-java#447 ·
-
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
jfrog/artifactory-client-java#445 ·
jfrog/artifactory-client-java の issue をすべて見る
似ている issue
-
Use GHA setup gradle action対応中かも @bric3 が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 67/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
openhab/openhab-addons#21921 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
jellyfin/jellyfin-androidtv#5885 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 1 日以内に返信
-
priority:P2 product:orazaka type:bug
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信