CVE-2023-36479

CVSS 3.5v3.1pub. 2023-09-15upd. 2025-05-27

Repozytorium Canonical Eclipse Jetty to oficjalne repozytorium projektu Jetty. Użytkownicy CgiServlet z bardzo specyficzną strukturą poleceń mogą wykonać nieprawidłowe polecenie. Jeśli użytkownik wyśle żądanie do serwletu org.eclipse.jetty.servlets.CGI dla pliku binarnego ze spacją w nazwie, serwlet zawijał polecenie w cudzysłowy. To zawinięte polecenie, plus opcjonalny prefiks polecenia, zostanie wykonane poprzez Runtime.exec. Jeśli oryginalna nazwa pliku binarnego dostarczona przez użytkownika zawiera cudzysłów następowany spacją, wynikowa linia poleceń będzie zawierać wiele tokenów zamiast jednego. Problem został naprawiony w wersjach 9.4.52, 10.0.16, 11.0.16 i 12.0.0-beta2.

▸ Pokaż oryginał (EN)

Eclipse Jetty Canonical Repository is the canonical repository for the Jetty project. Users of the CgiServlet with a very specific command structure may have the wrong command executed. If a user sends a request to a org.eclipse.jetty.servlets.CGI Servlet for a binary with a space in its name, the servlet will escape the command by wrapping it in quotation marks. This wrapped command, plus an optional command prefix, will then be executed through a call to Runtime.exec. If the original binary name provided by the user contains a quotation mark followed by a space, the resulting command line will contain multiple tokens instead of one. This issue was patched in version 9.4.52, 10.0.16, 11.0.16 and 12.0.0-beta2.