CVE-2023-26048

Zusammenfassung

Jetty ist ein auf Java basierender Webserver und Servlet-Engine. In betroffenen Versionen können Servlets mit Multipart-Unterstützung (z. B. annotiert mit `@MultipartConfig`), die `HttpServletRequest.getParameter()` oder `HttpServletRequest.getParts()` aufrufen, einen `OutOfMemoryError` verursachen, wenn der Client eine Multipart-Anfrage mit einem Teil sendet, der einen Namen, aber keinen Dateinamen und sehr großen Inhalt hat. Dies geschieht sogar mit den Standardeinstellungen von `fileSizeThreshold=0`, die den gesamten Teilinhalt auf die Festplatte streamen sollten. Ein angreifender Client kann eine große Multipart-Anfrage senden und den Server dazu bringen, einen `OutOfMemoryError` auszulösen. Der Server kann sich jedoch möglicherweise nach dem `OutOfMemoryError` erholen und seinen Dienst fortsetzen – auch wenn dies einige Zeit in Anspruch nehmen kann. Dieses Problem wurde in den Versionen 9.4.51, 10.0.14 und 11.0.14 behoben. Benutzern wird empfohlen, ein Upgrade durchzuführen. Benutzer, die kein Upgrade durchführen können, können den Multipart-Parameter `maxRequestSize` setzen, der auf einen nicht-negativen Wert gesetzt werden muss, sodass der gesamte Multipart-Inhalt begrenzt wird (obwohl er weiterhin in den Speicher gelesen wird).

• jetty_9.4.31_CVE-2023-26048PoC

  Repository, das sich der Analyse und Ausnutzung von CVE-2023-26048 in Jetty 9.4.31 widmet, mit Schwachstellenforschung und Proof-of-Concept-Code für Sicherheitstests.