CVE-2016-4800

Eclipse Jetty: ominięcie zabezpieczeń przez nieprawidłową normalizację ścieżek URL (Windows)

CVSS 9.8v3.0pub. 2017-04-13upd. 2026-05-13

Podatność w klasie PathResource w Eclipse Jetty 9.3.x na systemach Windows umożliwia zdalnym atakującym ominięcie restrykcji dostępu do chronionych zasobów. Błąd w mechanizmie normalizacji ścieżek pozwala na obejście skonfigurowanych reguł bezpieczeństwa bez jakiegokolwiek uwierzytelnienia.

▸ Pokaż oryginał (EN)

The path normalization mechanism in PathResource class in Eclipse Jetty 9.3.x before 9.3.9 on Windows allows remote attackers to bypass protected resource restrictions and other security constraints via a URL with certain escaped characters, related to backslashes.

🤖 Analiza AI

Jak działa

Mechanizm normalizacji ścieżek w klasie PathResource nieprawidłowo obsługuje adresy URL zawierające określone znaki ucieczki (escaped characters) powiązane z odwróconymi ukośnikami (backslashes). Na platformie Windows obsługa ścieżek różni się od systemów uniksowych, co powoduje rozbieżność między ścieżką postrzeganą przez mechanizm kontroli dostępu a ścieżką rzeczywiście rozwiązywaną przez system plików. Atakujący może spreparować żądanie HTTP z odpowiednio zakodowanym URL, które ominęłoby weryfikację uprawnień i uzyskało dostęp do chronionych zasobów.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do chronionych zasobów aplikacji oraz obejść skonfigurowane ograniczenia bezpieczeństwa, co może prowadzić do ujawnienia poufnych danych, modyfikacji zasobów lub dalszej eskalacji ataku.

Mitygacja

Należy zaktualizować Eclipse Jetty do wersji 9.3.9 lub nowszej. Podatność dotyczy wyłącznie instalacji na systemach Windows — środowiska uniksowe/linuksowe nie są narażone. Szczegóły dostępne w ogłoszeniu producenta pod adresem http://dev.eclipse.org/mhonarc/lists/jetty-announce/msg00092.html

Kogo dotyczy

Eclipse Jetty w wersjach 9.3.x przed 9.3.9, działający na systemie operacyjnym Windows

Uwagi

Podatność została zgłoszona przez organizację oCERT (advisory ocert-2016-001) oraz opisana przez Zero Day Initiative (ZDI-16-362). Pomimo krytycznego wyniku CVSS 9.8, podatność jest ograniczona wyłącznie do instalacji na platformie Windows.