CVE-2024-22201

highpriority · track · 31EPSS 0.014 · 73 %ileDEEUNLRUUS
grimoire priorityP2 · Scheduled
Exploitable?
—
no known exploitation
Likely / severe?
1.43% (73rd) EPSS
CVSS 7.5 · high
Is it mine?
270 products
Check your exposure
Who says so?
6 sources
cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · scored 2026-10-26

Jetty is a Java based web server and servlet engine. An HTTP/2 SSL connection that is established and TCP congested will be leaked when it times out. An attacker can cause many connections to end up in this state, and the server may run out of file descriptors, eventually causing the server to stop accepting new connections from valid clients. The vulnerability is patched in 9.4.54, 10.0.20, 11.0.20, and 12.0.6.

01

cvss

Technical severity, 0–10. One row per scoring source.

7.5
010

base score 0–10 · higher = more severe · hover a vector to decode⚠ sources disagree · medium–high · 6.9–7.5

v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hprimary · NVD / NIST USexploitability 3.9 · impact 3.6
v3.17.5highAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · FSTEC (BDU) RU
v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · ENISA EU
v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · security-advisories@github.comexploitability 3.9 · impact 3.6
v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · OSV
v3.16.9mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H/E:Usecondary · CVSS-BT (t0sche)
v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · NCSC-NL NL
02

ssvc

A stakeholder decision — act, attend, or track — from exploitation and impact.

Exploitation: poc · Automatable: no · Technical Impact: partialcoordinatorcisa_ssvcUS
03

weaknesses

The CWE weakness classes this flaw belongs to.

CWE-770USprimaryCWE-400USCWE-400USCWE-400USCWE-400USCWE-770US
04

affected products (270)

Products and version ranges known to be affected.

showing 20 of 270
05

advisories (20)

Vendor and ecosystem advisories describing this.

  • NCSC-2024-0294Kwetsbaarheden verholpen in Oracle CommunicationsNL2024-07-17csaf · ncsc_nlNL

    Er zijn kwetsbaarheden verholpen in Oracle Communications.

  • NCSC-2024-0297 Kwetsbaarheden verholpen in Oracle Financial Services ApplicationsNL2024-07-17csaf · ncsc_nlNL

    Er zijn kwetsbaarheden verholpen in Oracle Financial Services Applications.

  • NCSC-2024-0298 Kwetsbaarheden verholpen in Oracle Fusion MiddlewareNL2024-07-17csaf · ncsc_nlNL

    Er zijn kwetsbaarheden verholpen in Oracle Fusion Middleware.

  • NCSC-2024-0411Kwetsbaarheden verholpen in Oracle Database productenNL2024-10-17csaf · ncsc_nlNL

    Oracle heeft kwetsbaarheden verholpen in diverse Database producten en subsystemen, zoals de Core database, Application Express, Autonomous Health Framework, Essbase, GoldenGate, SQL Developer en Secure Backup.

  • NCSC-2024-0414Kwetsbaarheden verholpen in Oracle CommunicationsNL2024-10-17csaf · ncsc_nlNL

    Oracle heeft kwetsbaarheden verholpen in diverse Communications producten en systemen.

  • NCSC-2024-0415Kwetsbaarheden verholpen in Oracle Enterprise ManagerNL2024-10-17csaf · ncsc_nlNL

    Oracle heeft kwetsbaarheden verholpen in Enterprise Manager.

  • NCSC-2024-0417Kwetsbaarheden verholpen in Oracle Fusion MiddlewareNL2024-10-17csaf · ncsc_nlNL

    Oracle heeft kwetsbaarheden verholpen in Fusion Middleware componenten, zoals WebLogic Server, WebCenter en HTTP Server.

  • WID-SEC-W-2024-0486Eclipse Jetty: Schwachstelle ermöglicht Denial of ServiceDeutsch2024-02-26csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Eclipse Jetty ausnutzen, um einen Denial of Service Angriff durchzuführen.

  • WID-SEC-W-2024-0680Jenkins: Schwachstelle ermöglicht Denial of ServiceDeutsch2024-03-20csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Jenkins ausnutzen, um einen Denial of Service Angriff durchzuführen.

  • WID-SEC-W-2024-0869Oracle Communications: Mehrere SchwachstellenDeutsch2024-04-16csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-1637Oracle Fusion Middleware: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-1638Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-1642Oracle Communications: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-3191Oracle Fusion Middleware: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-3193Oracle Enterprise Manager: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Enterprise Manager ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-3196Oracle Communications Applications: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE

    Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-3219Oracle Supply Chain: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Supply Chain ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-3221Oracle Retail Applications: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Retail Applications ausnutzen, um die Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2025-1563Oracle Supply Chain: Mehrere SchwachstellenDeutsch2025-07-15csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Supply Chain ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • GHSA-rggv-cv7r-mw98Connection leaking on idle timeout when TCP congested2024-02-26ghsa · osvUS

    ### Impact If an HTTP/2 connection gets TCP congested, when an idle timeout occurs the HTTP/2 session is marked as closed, and then a GOAWAY frame is queued to be written. However it is not written because the connection is TCP congested. When another idle timeout period elapses, it is then supposed to hard close the connection, but it delegates to the HTTP/2 session which reports that it has already been closed so it does not attempt to hard close the connection. This leaves the connection in ESTABLISHED state (i.e. not closed), TCP congested, and idle. An attacker can cause many connections to end up in this state, and the server may run out of file descriptors, eventually causing the server to stop accepting new connections from valid clients. The client may also be impacted (if the server does not read causing a TCP congestion), but the issue is more severe for servers. ### Patches Patched versions: * 9.4.54 * 10.0.20 * 11.0.20 * 12.0.6 ### Workarounds Disable HTTP/2 and HTTP/3 support until you can upgrade to a patched version of Jetty. HTTP/1.x is not affected. ### References * https://github.com/jetty/jetty.project/issues/11256.

06

also known as (4)

Other names and identifiers for this entity.

07

sources

Which sources assert this record, and when.

cnnvdenisa_euvdfstec_bducert_bundncsc_nlosvNVDCVE.orgMITRE
published 2024-02-26modified 2026-06-17
09

references (22)

External citations — patches, advisories, analysis.

scry

Attackers weaponise vulnerabilities like this against internet-exposed services. See what is exposed on your perimeter with a free passive scan.

Free scan