CVE-2023-26048

Résumé

Jetty est un serveur web et moteur de servlets basé sur Java. Dans les versions concernées, les servlets avec prise en charge du multipart (par exemple annotées avec `@MultipartConfig`) qui appellent `HttpServletRequest.getParameter()` ou `HttpServletRequest.getParts()` peuvent provoquer une `OutOfMemoryError` lorsque le client envoie une requête multipart avec une partie qui possède un nom mais aucun nom de fichier et un contenu très volumineux. Cela se produit même avec les paramètres par défaut de `fileSizeThreshold=0` qui devraient diffuser tout le contenu de la partie sur le disque. Un client attaquant peut envoyer une requête multipart volumineuse et amener le serveur à lever une `OutOfMemoryError`. Cependant, le serveur peut être en mesure de récupérer après l'`OutOfMemoryError` et de continuer son service — bien que cela puisse prendre un certain temps. Ce problème a été corrigé dans les versions 9.4.51, 10.0.14 et 11.0.14. Il est conseillé aux utilisateurs de mettre à niveau. Les utilisateurs qui ne peuvent pas mettre à niveau peuvent définir le paramètre multipart `maxRequestSize`, qui doit être défini sur une valeur non négative, afin de limiter l'ensemble du contenu multipart (bien qu'il soit toujours lu en mémoire).

• jetty_9.4.31_CVE-2023-26048PoC

  Dépôt dédié à l'analyse et à l'exploitation de CVE-2023-26048 dans Jetty 9.4.31, fournissant des recherches sur les vulnérabilités et un code de preuve de concept pour les tests de sécurité.