CVE-2021-34429 — 神龙十问 AI 深度分析摘要

🚨 **本质**：URI编码绕过导致敏感信息泄露。 📉 **后果**：攻击者可访问 **WEB-INF** 目录内容，绕过安全限制，导致数据泄露。

🔍 **CWE**：CWE-200（信息泄露）。 🐛 **缺陷**：Jetty 对 **URI编码字符** 处理不当，未能正确解析路径，导致越权访问。

📦 **组件**：Eclipse Jetty。 📅 **版本**： - 9.4.37 - 9.4.42 - 10.0.1 - 10.0.5 - 11.0.1 - 11.0.5

🕵️ **权限**：无需认证（PR:N）。 💾 **数据**：可读取 **WEB-INF** 下的敏感文件（如配置文件、源码等），可能获取敏感信息。

📶 **门槛**：极低。 🔓 **认证**：无需登录（PR:N）。 🎯 **复杂度**：低（AC:L），只需构造特定编码的 URI 即可触发。

💻 **PoC**：有现成代码。 🔗 **来源**：GitHub 上有 POC（如 ColdFusionX 项目）及 Nuclei 模板，可直接用于验证。

🔎 **自查**： 1. 检查 Jetty 版本是否在受影响列表。 2. 使用 Nuclei 模板 `CVE-2021-34429.yaml` 扫描。 3. 尝试构造编码 URI 访问 `/WEB-INF/` 路径。

🛡️ **修复**：官方已发布修复版本。 ✅ **建议**：升级 Jetty 至 **9.4.43+**、**10.0.6+** 或 **11.0.6+**（注：基于CVE描述及常规修复逻辑，需升级至非受影响版本）。

⚠️ **临时规避**： - 升级依赖组件（如 Zookeeper/Kafka 已跟进修复）。 - 配置 WAF 拦截包含特殊编码字符且指向 WEB-INF 的请求。 - 限制对 WEB-INF 目录的直接访问权限。

🔥 **优先级**：高。 📊 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N。 💡 **理由**：远程无需认证即可利用，且影响数据机密性，广泛使用的 Jetty 容器风险大。