CVE-2021-34429 — 神龙十问 AI 深度分析摘要
CVSS 5.3 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：URI编码绕过导致敏感信息泄露。 📉 **后果**：攻击者可访问 **WEB-INF** 目录内容，绕过安全限制，导致数据泄露。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-200（信息泄露）。 🐛 **缺陷**：Jetty 对 **URI编码字符** 处理不当，未能正确解析路径，导致越权访问。
Q3影响谁？（版本/组件）
📦 **组件**：Eclipse Jetty。 📅 **版本**： - 9.4.37 - 9.4.42 - 10.0.1 - 10.0.5 - 11.0.1 - 11.0.5
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：无需认证（PR:N）。 💾 **数据**：可读取 **WEB-INF** 下的敏感文件（如配置文件、源码等），可能获取敏感信息。
Q5利用门槛高吗？（认证/配置）
📶 **门槛**：极低。 🔓 **认证**：无需登录（PR:N）。 🎯 **复杂度**：低（AC:L），只需构造特定编码的 URI 即可触发。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC**：有现成代码。 🔗 **来源**：GitHub 上有 POC（如 ColdFusionX 项目）及 Nuclei 模板，可直接用于验证。
Q7怎么自查？（特征/扫描）
🔎 **自查**： 1. 检查 Jetty 版本是否在受影响列表。 2. 使用 Nuclei 模板 `CVE-2021-34429.yaml` 扫描。 3. 尝试构造编码 URI 访问 `/WEB-INF/` 路径。
Q8官方修了吗？（补丁/缓解）
🛡️ **修复**：官方已发布修复版本。 ✅ **建议**：升级 Jetty 至 **9.4.43+**、**10.0.6+** 或 **11.0.6+**（注：基于CVE描述及常规修复逻辑，需升级至非受影响版本）。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**： - 升级依赖组件（如 Zookeeper/Kafka 已跟进修复）。 - 配置 WAF 拦截包含特殊编码字符且指向 WEB-INF 的请求。 - 限制对 WEB-INF 目录的直接访问权限。
Q10急不急？（优先级建议）
🔥 **优先级**：高。 📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N。 💡 **理由**：远程无需认证即可利用，且影响数据机密性，广泛使用的 Jetty 容器风险大。