CVE-2026-77711 Divulgación de credenciales de autenticación de proxy en Jetty HttpClient

Qué es CVE-2026-77711

Cuando HttpClient de Jetty realiza una petición a un servidor a través de un proxy directo, el servidor puede responder con 407 (Proxy Authentication Required). El cliente interpreta erróneamente que el 407 proviene del proxy y reenvía la petición con el encabezado Proxy-Authentication, que llega al servidor, el cual obtiene así acceso a las credenciales del proxy.

Productos y versiones afectadas

• Eclipse Foundation Eclipse Jetty

  • desde 12.1.0 hasta 12.1.12
  • desde 12.0.0 hasta 12.0.38
  • desde 11.0.0 hasta 11.0.32
  • desde 10.0.0 hasta 10.0.32
  • desde 9.4.0 hasta 9.4.64

Qué hacer

1. Verificá si usás Eclipse Jetty y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 8.2 ALTA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

When Jetty's `HttpClient` make a request to a server through a forward proxy, the server may reply with a 407 (Proxy Authentication Required). The client mistakenly interprets the 407 as coming from the proxy, so it re-sends the request with the `Proxy-Authentication` header, which arrives to the server, that now has access to the proxy credentials.

Referencias

• github.com/jetty/jetty.project/security/advisories/GHSA-r2c5-3p8g-wpvw
• gitlab.eclipse.org/security/cve-assignment/-/work_items/238

Historial de la alerta

1. 15 OCT · 07:25VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.