CVE-2023-26049

Jetty, Java tabanlı bir web sunucusu ve servlet motorudur. Jetty'deki standart dışı çerez ayrıştırma işlemi, bir saldırganın diğer çerezlerin içine çerez sızdırmasına veya çerez ayrıştırma mekanizmasını manipüle ederek istenmeyen davranışlar sergilemesine izin verebilir. Jetty, `"` (çift tırnak) ile başlayan bir çerez DEĞERİ gördüğünde, noktalı virgülle karşılaşsa bile kapatma tırnağını görene kadar çerez dizesini okumaya devam eder. Bu nedenle, `DISPLAY_LANGUAGE="b; JSESSIONID=1337; c=d"` gibi bir çerez üst bilgisi, 3 ayrı çerez yerine, adı DISPLAY_LANGUAGE ve değeri b; JSESSIONID=1337; c=d olan tek bir çerez olarak ayrıştırılacaktır. Bu durum güvenlik etkilerine sahiptir çünkü örneğin JSESSIONID bir HttpOnly çereziyse ve DISPLAY_LANGUAGE çerez değeri sayfada görüntüleniyorsa, bir saldırgan JSESSIONID çerezini DISPLAY_LANGUAGE çerezi içine sızdırabilir ve böylece onu dışarı sızdırabilir. Bir aracı kurum çerezlere dayalı bazı politikalar uyguladığında bu durum önem kazanır; böylece sızdırılan bir çerez söz konusu politikayı atlayabilir ancak yine de Jetty sunucusu veya günlükleme sistemi tarafından görülebilir. Bu sorun 9.4.51, 10.0.14, 11.0.14 ve 12.0.0.beta0 sürümlerinde giderilmiştir ve kullanıcıların yükseltme yapmaları önerilir. Bu sorun için bilinen bir geçici çözüm yoktur.