Jetty Servlets URI路径限制绕过漏洞（CVE-2021-28169）

漏洞描述：

Jetty Servlets中的ConcatServlet、WelcomeFilter类存在多重解码问题，当应用到这两个类之一时，攻击者就可以利用双重URL编码绕过限制来访问WEB-INF目录下的敏感文件，造成敏感信息泄露。

复现过程：

1.访问IP：port

2.查看页面源码，其中link标签的href属性值是使用到了ConcatServlet类来优化静态文件的加载

3.基于这种访问方式尝试直接访问WEB-INF下的文件是会返回404的：

/static?/WEB-INF/web.xml

3.对W进行双重URL编码则成功绕过限制访问得到敏感文件：

/static?/%2557EB-INF/web.xml

漏洞修复：

参考官方在9.4.41版本的修复commit：https://github.com/eclipse/jetty.project/pull/6261/commits/c704b8100a1ccc36f4bb8b80a96f3375dde8d182