CVE-2017-7658

Eclipse Jetty — pominięcie autoryzacji przez HTTP Request Smuggling

CVSS 9.8v3.1pub. 2018-06-26upd. 2024-11-21

W serwerze Eclipse Jetty wykryto podatność klasy HTTP Request Smuggling (CWE-444), polegającą na niepoprawnej obsłudze nagłówków Content-Length i Transfer-Encoding. Umożliwia ona atakującemu ominięcie mechanizmów autoryzacji narzuconych przez pośrednie węzły sieciowe (proxy, load balancer).

▸ Pokaż oryginał (EN)

In Eclipse Jetty Server, versions 9.2.x and older, 9.3.x (all non HTTP/1.x configurations), and 9.4.x (all HTTP/1.x configurations), when presented with two content-lengths headers, Jetty ignored the second. When presented with a content-length and a chunked encoding header, the content-length was ignored (as per RFC 2616). If an intermediary decided on the shorter length, but still passed on the longer body, then body content could be interpreted by Jetty as a pipelined request. If the intermediary was imposing authorization, the fake pipelined request would bypass that authorization.

🤖 Analiza AI

Jak działa

Gdy Jetty otrzymywał żądanie z dwoma nagłówkami Content-Length, ignorował drugi z nich. Gdy jednocześnie obecny był nagłówek Content-Length oraz Transfer-Encoding: chunked, ignorowany był nagłówek Content-Length (zgodnie z RFC 2616). Jeśli pośredni węzeł sieciowy (np. reverse proxy) zdecydował się na krótszą długość treści, ale przepuścił dalej dłuższe ciało żądania, nadmiarowa część ciała mogła zostać zinterpretowana przez Jetty jako kolejne, potokowe (pipelined) żądanie HTTP. Takie fałszywe żądanie trafiało do Jetty z pominięciem autoryzacji wymuszonej przez pośredni węzeł.

Skutki

Atakujący może ominąć autoryzację realizowaną przez pośredni węzeł sieciowy i uzyskać nieautoryzowany dostęp do chronionych zasobów aplikacji, a także potencjalnie wpłynąć na integralność i poufność przetwarzanych danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecana jest aktualizacja Eclipse Jetty do wersji z poprawką opisaną w zgłoszeniu błędu Eclipse (bugs.eclipse.org/bugs/show_bug.cgi?id=535669). Dodatkowo należy upewnić się, że konfiguracje pośrednich węzłów sieciowych (proxy, load balancer) poprawnie normalizują nagłówki HTTP przed przekazaniem żądań do Jetty.

Kogo dotyczy

Eclipse Jetty w wersjach 9.2.x i starszych, 9.3.x (wszystkie konfiguracje inne niż HTTP/1.x), 9.4.x (wszystkie konfiguracje HTTP/1.x); Oracle Rest Data Services oraz Debian Linux z pakietem Jetty w podatnych wersjach