遠端 Debian 11/12 主機上安裝的多個套件受到 dsa-5507 公告中提及的多個弱點影響。

  - Jetty 是 java 型 Web 伺服器和 servlet 引擎。在受影響的版本中，對於具有 multipart 支援 (例如使用「@MultipartConfig」註解) 的 servlet 呼叫「HttpServletRequest.getParameter()」或「HttpServletRequest.getParts()」，當客戶端發送帶有以下部分的 multipart 請求時，可能會導致「OutOfMemoryError」：有名稱但沒有檔案名稱且內容非常大。即使使用應將整個部分內容串流至磁碟的「fileSizeThreshold=0」的預設設定，也會發生此情況。攻擊者用戶端可傳送大型 multipart 要求，並造成伺服器擲回「OutOfMemoryError」。不過，伺服器可能會在「OutOfMemoryError」發生後復原並繼續其服務，不過這可能需要一些時間。此問題已在 9.4.51、10.0.14 和 11.0.14 版本中修正。建議所有使用者進行升級。
    無法升級的使用者可設定 multipart 參數「maxRequestSize」，此參數必須設定為非負值，因此整個 multipart 內容會受到限制 (儘管仍會讀入記憶體)。
    (CVE-2023-26048)

  - Jetty 是 java 型 Web 伺服器和 servlet 引擎。Jetty 中的非標準 Cookie 剖析可允許攻擊者走私其他 Cookie 中的 Cookie，或透過竄改 Cookie 剖析機制來執行非預期行為。如果 Jetty 看到以 `` (雙引號) 開頭的 Cookie VALUE，即使遇到分號，也會繼續讀取 Cookie 字串，直到看到結尾引號。因此，以下 Cookie 標頭：「DISPLAY_LANGUAGE=b; JSESSIONID=1337； c=d」將會被剖析為一個 Cookie，其名稱為 DISPLAY_LANGUAGE，值為 b； JSESSIONID=1337； c=d 而非 3 個獨立的 Cookie。這具有安全性影響，因為如果 JSESSIONID 是 HttpOnly Cookie，且 DISPLAY_LANGUAGE Cookie 值是在頁面上轉譯，則攻擊者可將 JSESSIONID Cookie 走私到 DISPLAY_LANGUAGE Cookie 中，進而將其洩漏。當中介者根據 Cookie 制定某些原則時，此問題會造成較大影響，走私的 Cookie 可繞過該原則，但仍可供 Jetty 伺服器或其記錄系統看到。此問題已在 9.4.51、10.0.14、11.0.14 和 12.0.0.beta0 版中解決，建議所有使用者皆升級。此問題尚無已知的因應措施。
    (CVE-2023-26049)

  - Eclipse Jetty Canonical Repository 是 Jetty 專案的正式存放庫。具有非常特定命令結構的 CgiServlet 使用者可能執行了錯誤的命令。如果使用者傳送要求至 org.eclipse.jetty.servlets.CGI Servlet，以取得名稱中含有空格的二進位檔，則 Servlet 會透過將命令括在引號中來逸出命令。然後，系統將透過 Runtime.exec 呼叫執行此包裝的命令，以及一個選用的命令前置詞。如果使用者提供的原始二進位名稱包含一個引號，且後面緊接著一個空格，則產生的命令行將包含多個 token，而非一個。此問題已在 9.4.52、10.0.16、11.0.16 和 12.0.0-beta2 版中修補。
    (CVE-2023-36479)

  - Jetty 是 Java 型 Web 伺服器和 servlet 引擎。在 9.4.52、10.0.16、11.0.16 和 12.0.1 版之前，Jetty 接受「+」字元使 HTTP/1 標頭欄位中的 content-length 值繼續前進。這比 RFC 所允許的範圍更寬鬆，且其他伺服器通常會以 400 回應拒絕此類要求。目前尚無已知的惡意利用情境，但可以想像，如果將 jetty 與在傳送此類 400 回應後未關閉連線的伺服器搭配使用，可能會導致要求走私。 9.4.52、10.0.16、11.0.16 和 12.0.1 版包含針對此問題的修補程式。由於沒有已知的惡意利用情境，因此沒有因應措施。(CVE-2023-40167)

  - Jetty 是 Java 型 Web 伺服器和 servlet 引擎。9.4.21 至 9.4.51、10.0.15 和 11.0.15 版容易受到弱式驗證影響。如果 Jetty「OpenIdAuthenticator」使用選用的巢狀「LoginService」，且「LoginService」決定撤銷已驗證的使用者，則目前的要求仍會將使用者視為經過驗證。驗證會從工作階段中清除，後續要求也不會視為經過驗證。因此，在先前經過驗證的工作階段上的要求被「LoginService」拒絕後，可能會被允許繞過驗證。這會影響已設定巢狀「LoginService」且「LoginService」將能夠拒絕先前經過驗證的使用者的 jetty-openid 使用方式。9.4.52、10.0.16、11.0.16 版包含此問題的修補程式。(CVE-2023-41900)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DSA-5507-1：jetty9 - 安全性更新

medium Nessus Plugin ID 182198

版本 1.2