CVE-2026-12605

Eclipse GlassFish: CSRF+SSRF w DownloadServlet umożliwia przejęcie domeny

CVSS 9.6v3.1pub. 2026-08-06upd. 2026-08-10

Podatność w Eclipse GlassFish (wersje 8.0.x przed 8.0.4) łączy ataki CSRF i SSRF w komponencie DownloadServlet ContentSources, prowadząc do wycieku tokenu administracyjnego `gfresttoken` na serwer kontrolowany przez atakującego. Skutkuje to pełnym, nieuwierzytelnionym przejęciem domeny GlassFish do czasu wygaśnięcia tokenu.

▸ Pokaż oryginał (EN)

In Eclipse GlassFish versions 8.0.x before 8.0.4, CSRF + SSRF in DownloadServlet ContentSources leaks the admin `gfresttoken` to attacker-controlled host if the victim is authenticated into the Admin Console -\> full unauthenticated takeover of Eclipse GlassFish domain until the token expires.

🤖 Analiza AI

Jak działa

Atakujący nakłania zalogowanego administratora do odwiedzenia spreparowanej strony, która za pomocą mechanizmu CSRF wymusza żądanie do podatnego endpointu DownloadServlet ContentSources. Dzięki błędowi SSRF serwer GlassFish wykonuje żądanie HTTP do hosta kontrolowanego przez atakującego, dołączając w nim token administracyjny `gfresttoken`. Po przechwyceniu tokenu atakujący może bez uwierzytelnienia wykonywać operacje administracyjne na domenie GlassFish, dopóki token pozostaje ważny.

Skutki

Atakujący uzyskuje pełną kontrolę nad domeną Eclipse GlassFish z uprawnieniami administracyjnymi, bez konieczności posiadania własnych poświadczeń. Możliwe jest odczytanie konfiguracji, modyfikacja aplikacji, wdrożenie złośliwego kodu oraz kompromitacja całego środowiska zarządzanego przez serwer.

Mitygacja

Należy jak najszybciej zaktualizować Eclipse GlassFish do wersji 8.0.4 lub nowszej. Do czasu aktualizacji zaleca się ograniczenie dostępu do Admin Console wyłącznie do zaufanych sieci oraz unikanie przeglądania niezaufanych stron przez administratorów będących zalogowanymi do konsoli administracyjnej.