CVE-2023-26049

概要

Jettyは、JavaベースのWebサーバーおよびサーブレットエンジンです。Jettyにおける非標準的なCookie解析により、攻撃者が他のCookie内にCookieを紛れ込ませたり、Cookie解析メカニズムを改ざんすることで意図しない動作を引き起こしたりする可能性があります。Jettyが`"`（二重引用符）で始まるCookieのVALUEを検出すると、セミコロンが出現しても、終了引用符が見つかるまでCookie文字列を読み続けます。そのため、`DISPLAY_LANGUAGE="b; JSESSIONID=1337; c=d"`のようなCookieヘッダーは、3つの個別のCookieとしてではなく、名前がDISPLAY_LANGUAGEで値が`b; JSESSIONID=1337; c=d`の1つのCookieとして解析されます。これにはセキュリティ上の影響があります。例えば、JSESSIONIDがHttpOnly Cookieであり、DISPLAY_LANGUAGEのCookie値がページ上にレンダリングされる場合、攻撃者はJSESSIONID CookieをDISPLAY_LANGUAGE Cookieに紛れ込ませ、それによってそれを外部に持ち出すことができます。これは、中間者がCookieに基づいて何らかのポリシーを実施している場合に重要であり、紛れ込ませたCookieはそのポリシーを回避しつつも、Jettyサーバーやそのログシステムには依然として認識される可能性があります。この問題はバージョン9.4.51、10.0.14、11.0.14、および12.0.0.beta0で対処されており、ユーザーはアップグレードすることを推奨します。この問題に対する既知の回避策はありません。

• jetty-9.4.31.v20200723_CVE-2023-26049エクスプロイト

  CVE-2023-26049のエクスプロイトコードと分析、Jetty 9.4.31をターゲットとし、セキュリティテストおよび研究用のWebサーバーにおける脆弱性を示しています。