CVE-2023-41900lowCWE-1390

CVE-2023-41900: falha de baixa gravidade em eclipse jetty.project

Jetty's OpenId Revoked authentication allows one request

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar jetty.project+ Monitorar jetty9

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 3.5epss 0.9%
Em resumo

O Jetty tem um problema na autenticação OpenID onde um usuário cujo acesso foi revogado consegue fazer ainda uma requisição como se estivesse autenticado antes de ser desconectado. Isso importa porque um atacante com sessão revogada poderia realizar uma ação não autorizada.

Detalhe técnico

O OpenIdAuthenticator do Jetty (versões 9.4.21–9.4.51, 10.0.15, 11.0.15) não aplica imediatamente as decisões de revogação do LoginService aninhado. Quando um LoginService rejeita um usuário previamente autenticado, a requisição atual é processada como autenticada antes de limpar o estado da sessão, permitindo uma requisição contornar a verificação de revogação. Requisições subsequentes são corretamente negadas.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Jetty is a Java based web server and servlet engine. Versions 9.4.21 through 9.4.51, 10.0.15, and 11.0.15 are vulnerable to weak authentication. If a Jetty `OpenIdAuthenticator` uses the optional nested `LoginService`, and that `LoginService` decides to revoke an already authenticated user, then the current request will still treat the user as authenticated. The authentication is then cleared from the session and subsequent requests will not be treated as authenticated. So a request on a previously authenticated session could be allowed to bypass authentication after it had been rejected by the `LoginService`. This impacts usages of the jetty-openid which have configured a nested `LoginService` and where that `LoginService` will is capable of rejecting previously authenticated users. Versions 9.4.52, 10.0.16, and 11.0.16 have a patch for this issue.
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:N/A:N
Produtos afetados
eclipse · jetty.project
CVEs relacionadas — eclipse jetty.project

No mesmo produto, das mais perigosas para as menos.

CVE-2023-36478HIGHHTTP/2 HPACK integer overflow and buffer allocationEPSS 4.8%CVE-2023-26048MEDIUMOutOfMemoryError for large multipart without filename in Eclipse JettyEPSS 3.4%CVE-2023-26049LOWCookie parsing of quoted values can exfiltrate values from other cookies in Eclipse JettyEPSS 1.3%CVE-2023-40167MEDIUMJetty accepts "+" prefixed value in Content-LengthEPSS 1.3%CVE-2023-36479LOWJetty vulnerable to errant command quoting in CGI ServletEPSS 1.2%