CVE-2026-12611 in Jetty
Zusammenfassung
von VulDB • 08.09.2026
Ein Client kann HTTP/2-Anfragen an einen Jetty-Server senden, die zu blockierenden Schreibvorgängen führen, die niemals freigegeben werden, was schließlich dazu führt, dass alle Threads blockiert sind und der gesamte Server nicht mehr reagiert.
Dies wird durch eine Race Condition auf dem Server beim Verarbeiten von RST_STREAM-Frames und GOAWAY-Frames verursacht, die vom Client gesendet wurden.
Die Race Condition "setzt" HTTP2Flusher.terminated zurück, das zuvor auf einen Nicht-Null-Wert gesetzt war, auf den Nullwert, wodurch Einträge in den Flusher eingereiht werden können, die jedoch niemals verarbeitet werden. Diese nicht verarbeiteten Einträge sind diejenigen, die die schreibblockierten Threads entblocken würden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.