CVE-2023-41900lowCWE-1390

CVE-2023-41900: fallo de gravedad baja en eclipse jetty.project

Jetty's OpenId Revoked authentication allows one request

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear jetty.project+ Monitorear jetty9

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 3.5epss 0.9%
En resumen

Jetty tiene un fallo en la autenticación OpenID donde un usuario cuyo acceso fue revocado puede hacer aún una solicitud como si estuviera autenticado antes de ser desconectado. Importa porque un atacante con sesión revocada podría realizar una acción no autorizada.

Detalle técnico

El OpenIdAuthenticator de Jetty (versiones 9.4.21–9.4.51, 10.0.15, 11.0.15) no aplica inmediatamente las decisiones de revocación del LoginService anidado. Cuando un LoginService rechaza un usuario previamente autenticado, la solicitud actual se procesa como autenticada antes de limpiar el estado de la sesión, permitiendo que una solicitud eludir la verificación de revocación. Las solicitudes posteriores se niegan correctamente.

Resumen generado y traducido por IA a partir de la descripción oficial.
Jetty is a Java based web server and servlet engine. Versions 9.4.21 through 9.4.51, 10.0.15, and 11.0.15 are vulnerable to weak authentication. If a Jetty `OpenIdAuthenticator` uses the optional nested `LoginService`, and that `LoginService` decides to revoke an already authenticated user, then the current request will still treat the user as authenticated. The authentication is then cleared from the session and subsequent requests will not be treated as authenticated. So a request on a previously authenticated session could be allowed to bypass authentication after it had been rejected by the `LoginService`. This impacts usages of the jetty-openid which have configured a nested `LoginService` and where that `LoginService` will is capable of rejecting previously authenticated users. Versions 9.4.52, 10.0.16, and 11.0.16 have a patch for this issue.
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:N/A:N
Productos afectados
eclipse · jetty.project
CVEs relacionadas — eclipse jetty.project

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-36478HIGHHTTP/2 HPACK integer overflow and buffer allocationEPSS 4.8%CVE-2023-26048MEDIUMOutOfMemoryError for large multipart without filename in Eclipse JettyEPSS 3.4%CVE-2023-26049LOWCookie parsing of quoted values can exfiltrate values from other cookies in Eclipse JettyEPSS 1.3%CVE-2023-40167MEDIUMJetty accepts "+" prefixed value in Content-LengthEPSS 1.3%CVE-2023-36479LOWJetty vulnerable to errant command quoting in CGI ServletEPSS 1.2%