CVE-2023-26049

Resumen

Jetty es un servidor web y motor de servlets basado en Java. El análisis no estándar de cookies en Jetty puede permitir a un atacante introducir cookies de contrabando dentro de otras cookies, o realizar un comportamiento no deseado al manipular el mecanismo de análisis de cookies. Si Jetty ve un VALOR de cookie que comienza con `"` (comilla doble), continuará leyendo la cadena de la cookie hasta que vea una comilla de cierre, incluso si se encuentra un punto y coma. Por lo tanto, una cabecera de cookie como: `DISPLAY_LANGUAGE="b; JSESSIONID=1337; c=d"` se analizará como una sola cookie, con el nombre DISPLAY_LANGUAGE y un valor de b; JSESSIONID=1337; c=d en lugar de 3 cookies separadas. Esto tiene implicaciones de seguridad porque si, por ejemplo, JSESSIONID es una cookie HttpOnly, y el valor de la cookie DISPLAY_LANGUAGE se renderiza en la página, un atacante puede introducir la cookie JSESSIONID dentro de la cookie DISPLAY_LANGUAGE y así exfiltrarla. Esto es significativo cuando un intermediario aplica alguna política basada en cookies, por lo que una cookie de contrabando puede eludir esa política pero aún así ser vista por el servidor Jetty o su sistema de registro. Este problema se ha abordado en las versiones 9.4.51, 10.0.14, 11.0.14 y 12.0.0.beta0 y se recomienda a los usuarios actualizar. No hay soluciones alternativas conocidas para este problema.

Fuentes

• jetty-9.4.31.v20200723_CVE-2023-26049Exploit

  Código de exploit y análisis para CVE-2023-26049 dirigido a Jetty 9.4.31, que demuestra una vulnerabilidad en el servidor web para pruebas de seguridad e investigación.