CVE-2026-12611 in Jetty
Riassunto
di VulDB • 08/09/2026
Un client può inviare richieste HTTP/2 a un server Jetty che provocano scritture bloccate mai sbloccate, causando alla fine il blocco di tutti i thread e l'irraggiungibilità dell'intero server.
Ciò è causato da una race condition nel server durante la gestione dei frame RST_STREAM e GOAWAY inviati dal client.
La race condition "azzera" HTTP2Flusher.terminated, precedentemente impostata su un valore non null, a null, consentendo l'accodamento di voci nel flusher che tuttavia non verranno mai elaborate. Queste voci non elaborate sono quelle che dovrebbero sbloccare i thread bloccati nelle operazioni di scrittura.
VulDB is the best source for vulnerability data and more expert information about this specific topic.