JetLeak – die HeartBleed-ähnliche Sicherheitslücke in Jetty

Durch die von der Sicherheitsfirma Gotham Digital Science veröffentlichte Sicherheitslücke JetLeak im Jetty-Webserver können Angreifer Cookies, Session-Tokens, Nutzernamen und Passwörter aus den Verbindungen andere Nutzer ausspionieren.

Der Java-Webserver und Servlet-Container Jetty ist weit verbreitet und wird unter anderem in Hadoop, Heroku, Eclipse und in der Google AppEngine benutzt. Betroffen sind die Jetty-Versionen 9.2.3 bis 9.2.8.

Der Niederländer Thijs Bosschert äußert über Twitter die Auffassung, dass niemand ein Sicherheitsproblem ernst nimmt, wenn dieses kein Logo hat und hat deshalb analog zum HeartBleed-Logo einen blutenden Jet als Logo zu JetLeak entwickelt.