CVE-2023-26049

Riepilogo

Jetty è un server web e motore servlet basato su Java. L'analisi non standard dei cookie in Jetty può consentire a un attaccante di introdurre di nascosto cookie all'interno di altri cookie, o di causare comportamenti indesiderati alterando il meccanismo di analisi dei cookie. Se Jetty rileva un VALORE di cookie che inizia con `"` (doppio apice), continuerà a leggere la stringa del cookie fino a quando non incontra un apice di chiusura — anche se viene incontrato un punto e virgola. Quindi, un header di cookie come: `DISPLAY_LANGUAGE="b; JSESSIONID=1337; c=d"` verrà analizzato come un singolo cookie, con il nome DISPLAY_LANGUAGE e un valore di b; JSESSIONID=1337; c=d invece di 3 cookie separati. Questo ha implicazioni di sicurezza perché, se, ad esempio, JSESSIONID è un cookie HttpOnly, e il valore del cookie DISPLAY_LANGUAGE viene renderizzato nella pagina, un attaccante può introdurre di nascosto il cookie JSESSIONID nel cookie DISPLAY_LANGUAGE e quindi esfiltrarlo. Questo è significativo quando un intermediario applica una qualche policy basata sui cookie, quindi un cookie introdotto di nascosto può bypassare quella policy pur essendo comunque visibile al server Jetty o al suo sistema di logging. Questo problema è stato risolto nelle versioni 9.4.51, 10.0.14, 11.0.14 e 12.0.0.beta0 e si consiglia agli utenti di aggiornare. Non ci sono workaround noti per questo problema.

• jetty-9.4.31.v20200723_CVE-2023-26049Exploit

  Codice exploit e analisi per CVE-2023-26049 che colpisce Jetty 9.4.31, che dimostra una vulnerabilità nel server web per test e ricerca sulla sicurezza.