CVE-2023-26048

概要

Jettyは、JavaベースのWebサーバーおよびサーブレットエンジンです。影響を受けるバージョンでは、multipartサポートを持つサーブレット（例: `@MultipartConfig` で注釈されたもの）が `HttpServletRequest.getParameter()` または `HttpServletRequest.getParts()` を呼び出すと、クライアントが名前はあるがファイル名がなく、非常に大きなコンテンツを持つパートを含むmultipartリクエストを送信した場合に `OutOfMemoryError` を引き起こす可能性があります。これは、パートコンテンツ全体をディスクにストリーミングするはずのデフォルト設定 `fileSizeThreshold=0` でも発生します。攻撃者クライアントは大きなmultipartリクエストを送信し、サーバーに `OutOfMemoryError` を発生させることができます。ただし、サーバーは `OutOfMemoryError` の後に回復してサービスを継続できる場合がありますが、時間がかかる可能性があります。この問題はバージョン9.4.51、10.0.14、および11.0.14で修正されています。ユーザーはアップグレードすることをお勧めします。アップグレードできないユーザーは、multipartパラメータ `maxRequestSize` を非負の値に設定することができます。これにより、multipartコンテンツ全体が制限されます（ただし、依然としてメモリに読み込まれます）。

• jetty_9.4.31_CVE-2023-26048PoC

  # CVE-2023-26048 の解析と悪用に特化したリポジトリ（Jetty 9.4.31） Jetty 9.4.31 における CVE-2023-26048 の解析と悪用に特化したリポジトリで、脆弱性調査とセキュリティテスト用の概念実証コードを提供します。