CVE-2023-26049

Резюме

Jetty — это веб-сервер и сервлетный движок на основе Java. Нестандартный разбор cookie в Jetty может позволить злоумышленнику внедрить cookie внутри других cookie или иным образом вызвать непреднамеренное поведение, вмешиваясь в механизм разбора cookie. Если Jetty видит ЗНАЧЕНИЕ cookie, начинающееся с `"` (двойной кавычки), он продолжает читать строку cookie до тех пор, пока не увидит закрывающую кавычку — даже если встречается точка с запятой. Так, заголовок cookie вида: `DISPLAY_LANGUAGE="b; JSESSIONID=1337; c=d"` будет разобран как одна cookie с именем DISPLAY_LANGUAGE и значением b; JSESSIONID=1337; c=d вместо трёх отдельных cookie. Это имеет последствия для безопасности, поскольку если, например, JSESSIONID является HttpOnly cookie, а значение cookie DISPLAY_LANGUAGE отображается на странице, злоумышленник может внедрить cookie JSESSIONID в cookie DISPLAY_LANGUAGE и таким образом извлечь её. Это существенно, когда промежуточный узел применяет какую-либо политику на основе cookie, поэтому внедрённая cookie может обойти эту политику, но при этом остаться видимой для сервера Jetty или его системы журналирования. Эта проблема устранена в версиях 9.4.51, 10.0.14, 11.0.14 и 12.0.0.beta0, и пользователям рекомендуется выполнить обновление. Известных обходных путей для этой проблемы нет.

• jetty-9.4.31.v20200723_CVE-2023-26049Эксплойт

  Эксплойт-код и анализ для CVE-2023-26049, нацеленного на Jetty 9.4.31, демонстрирующие уязвимость в веб-сервере для тестирования безопасности и исследований.