遠端 Debian 11/12 主機上安裝的多個套件受到 dsa-5507 公告中提及的多個弱點影響。

    在 Java 型 Web 伺服器和 servlet 引擎 Jetty 中發現多個安全性弱點。org.eclipse.jetty.servlets.CGI 類別已過時。使用它可能不安全。Jetty 的上游開發人員建議改用快速 CGI。另請參閱 CVE-2023-36479。CVE-2023-26048 在受影響的版本中，對於具有 multipart 支援 (例如使用「@MultipartConfig」註解) 的 servlet 呼叫「HttpServletRequest.getParameter()」或「HttpServletRequest.getParts()」，當客戶端發送帶有以下部分的 multipart 請求時，可能會導致「OutOfMemoryError」：有名稱但沒有檔案名稱且內容非常大。
    即使使用應將整個部分內容串流至磁碟的「fileSizeThreshold=0」的預設設定，也會發生此情況。CVE-2023-26049 Jetty 中的非標準 Cookie 剖析可允許攻擊者走私其他 Cookie 中的 Cookie，或透過竄改 Cookie 剖析機制來執行非預期行為。CVE-2023-40167 在這個版本之前，Jetty 已接受「+」字元使 HTTP/1 標頭欄位中的 content-length 值繼續前進。這比 RFC 所允許的範圍更寬鬆，且其他伺服器通常會以 400 回應拒絕此類要求。目前尚無已知的惡意利用情境，但可以想像，如果將 jetty 與在傳送此類 400 回應後未關閉連線的伺服器搭配使用，可能會導致要求走私。CVE-2023-36479 具有非常特定命令結構的 CgiServlet 使用者可能執行了錯誤的命令。如果使用者傳送要求至 org.eclipse.jetty.servlets.CGI Servlet，以取得名稱中含有空格的二進位檔，則 Servlet 會透過將命令括在引號中來逸出命令。然後，系統將透過 Runtime.exec 呼叫執行此包裝的命令，以及一個選用的命令前置詞。如果使用者提供的原始二進位名稱包含一個引號，且後面緊接著一個空格，則產生的命令行將包含多個 token，而非一個。CVE-2023-41900 Jetty 容易受到弱式驗證影響。如果 Jetty「OpenIdAuthenticator」使用選用的巢狀「LoginService」，且「LoginService」決定撤銷已驗證的使用者，則目前的要求仍會將使用者視為經過驗證。驗證會從工作階段中清除，後續要求也不會視為經過驗證。因此，在先前經過驗證的工作階段上的要求被「LoginService」拒絕後，可能會被允許繞過驗證。這會影響已設定巢狀「LoginService」且「LoginService」能夠拒絕先前經過驗證的使用者的 jetty-openid 使用方式。針對 oldstable 發行版本 (bullseye)，已在 9.4.39-3+deb11u2 版本中修正這些問題。針對穩定的發行版本 (bookworm)，已在 9.4.50-4+deb12u1 版中修正這些問題。建議您升級 jetty9 套件。如需有關 jetty9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：https://security-tracker.debian.org/tracker/jetty9

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DSA-5507-1：jetty9 - 安全性更新

medium Nessus Plugin ID 182198

版本 1.0