CVE-2022-2048
mediumpriority · track · 31EPSS 0.026 · 85 %ileDEEURUUSEPSS · scored 2026-10-23
In Eclipse Jetty HTTP/2 server implementation, when encountering an invalid HTTP/2 request, the error handling has a bug that can wind up not properly cleaning up the active connections and associated resources. This can lead to a Denial of Service scenario where there are no enough resources left to process good requests.
cvss
Technical severity, 0–10. One row per scoring source.
base score 0–10 · higher = more severe · hover a vector to decode⚠ sources disagree · medium–high · 5–7.5
weaknesses
The CWE weakness classes this flaw belongs to.
affected products (40)
Products and version ranges known to be affected.
advisories (10)
Vendor and ecosystem advisories describing this.
- WID-SEC-W-2022-0614Eclipse Jetty: Mehrere SchwachstellenDeutsch2022-07-07csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Eclipse Jetty ausnutzen, um einen Denial of Service Angriff durchzuführen und Informationen zu manipulieren.
- WID-SEC-W-2022-1373Jenkins: Schwachstelle ermöglicht Denial of ServiceDeutsch2022-09-11csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Jenkins ausnutzen, um einen Denial of Service Angriff durchzuführen.
- WID-SEC-W-2023-0027IBM Tivoli Network Manager: Mehrere SchwachstellenDeutsch2023-01-04csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in IBM Tivoli Network Manager ausnutzen, um Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen, einen Denial-of-Service-Zustand herbeizuführen und nicht spezifizierte Auswirkungen zu verursachen.
- WID-SEC-W-2023-0133Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
- WID-SEC-W-2023-0137Oracle Communications: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
- WID-SEC-W-2023-1017Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
- WID-SEC-W-2023-1808Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2023-07-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
- WID-SEC-W-2024-0794Dell ECS: Mehrere SchwachstellenDeutsch2024-04-04csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Dell ECS ausnutzen, um seine Privilegien zu erweitern, beliebigen Programmcode mit Administratorrechten auszuführen, Informationen offenzulegen, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuführen, Sicherheitsvorkehrungen zu umgehen oder einen Denial of Service Zustand herbeizuführen.
- GHSA-wgmr-mf83-7x4jJetty vulnerable to Invalid HTTP/2 requests that can lead to denial of service2022-07-07ghsa · osvUS
### Description Invalid HTTP/2 requests (for example, invalid URIs) are incorrectly handled by writing a blocking error response directly from the selector thread. If the client manages to exhaust the HTTP/2 flow control window, or TCP congest the connection, the selector thread will be blocked trying to write the error response. If this is repeated for all the selector threads, the server becomes unresponsive, causing the denial of service. ### Impact A malicious client may render the server unresponsive. ### Patches The fix is available in Jetty versions 9.4.47. 10.0.10, 11.0.10. ### Workarounds No workaround available within Jetty itself. One possible workaround is to filter the requests before sending them to Jetty (for example in a proxy) ### For more information If you have any questions or comments about this advisory: * Email us at security@webtide.com.
- BIT-jenkins-2022-20482024-03-06vendor · osvUS
In Eclipse Jetty HTTP/2 server implementation, when encountering an invalid HTTP/2 request, the error handling has a bug that can wind up not properly cleaning up the active connections and associated resources. This can lead to a Denial of Service scenario where there are no enough resources left to process good requests.
also known as (6)
Other names and identifiers for this entity.
sources
Which sources assert this record, and when.
references (25)
External citations — patches, advisories, analysis.
- http://www.openwall.com/lists/oss-security/2022/09/09/2cnnvd
- https://cxsecurity.com/cveshow/CVE-2022-2048/cnnvd
- https://github.com/eclipse/jetty.project/security/advisories/GHSA-wgmr-mf83-7x4jcnnvd
- https://lists.debian.org/debian-lts-announce/2022/08/msg00011.htmlcnnvd
- https://packetstormsecurity.com/files/170042/Red-Hat-Security-Advisory-2022-8652-01.htmlcnnvd
- https://packetstormsecurity.com/files/170511/Red-Hat-Security-Advisory-2023-0017-01.htmlcnnvd
- https://packetstormsecurity.com/files/170571/Red-Hat-Security-Advisory-2023-0189-01.htmlcnnvd
- https://security.netapp.com/advisory/ntap-20220901-0006/cnnvd
Attackers weaponise vulnerabilities like this against internet-exposed services. See what is exposed on your perimeter with a free passive scan.
Free scan