CVE-2023-26049

Résumé

Jetty est un serveur web et moteur de servlets basé sur Java. L'analyse non standard des cookies dans Jetty peut permettre à un attaquant de faire passer en contrebande des cookies dans d'autres cookies, ou d'induire un comportement non intentionnel en altérant le mécanisme d'analyse des cookies. Si Jetty voit une VALEUR de cookie qui commence par `"` (guillemet double), il continuera à lire la chaîne du cookie jusqu'à ce qu'il rencontre un guillemet fermant — même si un point-virgule est rencontré. Ainsi, un en-tête de cookie tel que : `DISPLAY_LANGUAGE="b; JSESSIONID=1337; c=d"` sera analysé comme un seul cookie, avec le nom DISPLAY_LANGUAGE et une valeur de b; JSESSIONID=1337; c=d au lieu de 3 cookies distincts. Cela a des implications en matière de sécurité, car si, par exemple, JSESSIONID est un cookie HttpOnly et que la valeur du cookie DISPLAY_LANGUAGE est rendue sur la page, un attaquant peut faire passer en contrebande le cookie JSESSIONID dans le cookie DISPLAY_LANGUAGE et ainsi l'exfiltrer. Cela est significatif lorsqu'un intermédiaire applique une politique basée sur les cookies, car un cookie introduit en contrebande peut contourner cette politique tout en étant toujours visible par le serveur Jetty ou son système de journalisation. Ce problème a été corrigé dans les versions 9.4.51, 10.0.14, 11.0.14 et 12.0.0.beta0 et il est conseillé aux utilisateurs de mettre à jour. Il n'existe aucune solution de contournement connue pour ce problème.

• jetty-9.4.31.v20200723_CVE-2023-26049Exploit

  Code d'exploitation et analyse pour CVE-2023-26049 ciblant Jetty 9.4.31, démontrant une vulnérabilité dans le serveur web pour les tests de sécurité et la recherche.