Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

False positive — Multiple Undertow CVEs reported but Undertow is not present in scanned artifact

Đang mở
  • Có gì không ổn?
#443 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
30/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
java
Lĩnh vực
security

Hướng nghiên cứu

Báo cáo không xác định tệp repository hay bài kiểm thử nào. Hãy bắt đầu bằng cách tái tạo một bản quét Xray cho ứng dụng Java và kiểm tra cây dependency của ứng dụng; được xem là hoàn tất khi không có CVE của Undertow nếu io.undertow:undertow-core không hiện diện, trong khi Jetty vẫn được xác định chính xác.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Describe the bug
Xray reports 9 Undertow CVEs against our project. However, io.undertow:undertow-core is NOT present in our delivery at all. The project uses Eclipse Jetty (9.4.58) as its HTTP server via Apache Karaf's Pax Web integration. There is no Undertow dependency, no AJP listener, and no XNIO anywhere in the dependency chain.

The scanner appears to be making a broad or incorrect component association.

CVEs incorrectly reported:

CVE Severity Vulnerability Advisory
CVE-2023-1973 HIGH Undertow memory exhaustion DoS https://bugzilla.redhat.com/show_bug.cgi?id=2185662
CVE-2024-3884 HIGH Undertow FormEncodedDataDefinition OOM https://bugzilla.redhat.com/show_bug.cgi?id=2275287
CVE-2024-4027 HIGH Undertow getParameterNames() OOM https://bugzilla.redhat.com/show_bug.cgi?id=2276410
CVE-2024-5971 HIGH Undertow chunked response DoS https://bugzilla.redhat.com/show_bug.cgi?id=2292211
CVE-2024-6162 HIGH Undertow AJP listener path confusion https://bugzilla.redhat.com/show_bug.cgi?id=2293069
CVE-2024-7885 HIGH Undertow Proxy Protocol info leakage https://bugzilla.redhat.com/show_bug.cgi?id=2305290
CVE-2025-9784 HIGH Undertow MadeYouReset DoS https://nvd.nist.gov/vuln/detail/CVE-2025-9784
CVE-2025-12543 CRITICAL Undertow Host header validation bypass https://nvd.nist.gov/vuln/detail/CVE-2025-12543
CVE-2026-3260 HIGH Undertow multipart/form-data DoS https://bugzilla.redhat.com/show_bug.cgi?id=2443010
CVE-2026-28369 CRITICAL Undertow HTTP request smuggling https://bugzilla.redhat.com/show_bug.cgi?id=2443262

To Reproduce
Xray scan a Java application that uses Eclipse Jetty (not Undertow) as its HTTP server. Scanner reports Undertow CVEs despite the artifact not containing any Undertow dependencies.

Expected behavior
These CVEs should not be reported when io.undertow:undertow-core is not present in the scanned artifact's dependency tree. The project uses a completely different HTTP server (Jetty via Pax Web).

Versions

  • Package: io.undertow:undertow-core — NOT PRESENT
  • HTTP server actually used: org.eclipse.jetty:jetty-server:9.4.58 (via Pax Web 8.0.35)
  • Container: Apache Karaf (OSGi)

Additional context
Verified via source code search: zero references to Undertow, XNIO, or AJP listener in the entire project. The scanner may be confusing artifact metadata or making overly broad vendor-level associations.

Ngôn ngữ chính
Java
Star
331
Fork
164
Merge trung bình
20 giờ 9 phút
Pull request đã merge (30 ngày)
1

Chuẩn bị môi trường

  • Không có Dockerfile hay tệp Docker Compose
  • Có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của jfrog/artifactory-client-java

Tất cả issue của jfrog/artifactory-client-java

Issue tương tự

Thêm issue về Java

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.