CVE-2026-12611 in Jetty
요약
\~에 의해 VulDB • 2026. 09. 08.
클라이언트가 Jetty 서버에 차단된 쓰기가 결코 해제되지 않는 HTTP/2 요청을 보내면, 결국 모든 스레드가 차단되어 전체 서버가 응답하지 않게 됩니다.
이는 클라이언트에서 전송한 RST_STREAM 프레임과 GOAWAY 프레임을 처리할 때 서버의 race condition(경쟁 조건)으로 인해 발생합니다.
이 경쟁 조건은 이전에 null이 아닌 값으로 설정된 HTTP2Flusher.terminated를 null 값으로 "재설정"하여, flusher에 엔트리가 큐에 추가되지만 결코 처리되지 않도록 합니다. 이러한 미처리 엔트리는 차단된 쓰기 스레드를 해제하는 역할을 하는 것입니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.