CVE-2023-26049

Resumo

Jetty é um servidor web e mecanismo de servlet baseado em Java. A análise não padronizada de cookies no Jetty pode permitir que um atacante contrabandeie cookies dentro de outros cookies, ou realize comportamentos não intencionais ao adulterar o mecanismo de análise de cookies. Se o Jetty vir um VALOR de cookie que começa com `"` (aspas duplas), ele continuará lendo a string do cookie até ver uma aspa de fechamento — mesmo que um ponto e vírgula seja encontrado. Assim, um cabeçalho de cookie como: `DISPLAY_LANGUAGE="b; JSESSIONID=1337; c=d"` será analisado como um único cookie, com o nome DISPLAY_LANGUAGE e um valor de b; JSESSIONID=1337; c=d em vez de 3 cookies separados. Isso tem implicações de segurança porque, se, por exemplo, JSESSIONID for um cookie HttpOnly, e o valor do cookie DISPLAY_LANGUAGE for renderizado na página, um atacante pode contrabandear o cookie JSESSIONID para dentro do cookie DISPLAY_LANGUAGE e, assim, exfiltra-lo. Isso é significativo quando um intermediário está aplicando alguma política baseada em cookies, então um cookie contrabandeado pode contornar essa política e ainda assim ser visto pelo servidor Jetty ou pelo seu sistema de registro. Esse problema foi resolvido nas versões 9.4.51, 10.0.14, 11.0.14 e 12.0.0.beta0, e os usuários são aconselhados a atualizar. Não há soluções alternativas conhecidas para esse problema.

• jetty-9.4.31.v20200723_CVE-2023-26049Exploit

  Código de exploit e análise para CVE-2023-26049 direcionado ao Jetty 9.4.31, demonstrando uma vulnerabilidade no servidor web para testes e pesquisa de segurança.