概述
新思科技網(wǎng)絡安全研究中心（CyRC）研究人員發(fā)現(xiàn)了CVE-2020-27223漏洞，即Eclipse Jetty中的拒絕服務漏洞。Eclipse Jetty是一種廣泛使用的開源Web服務器和Servlet容器。根據(jù)Eclipse Foundation網(wǎng)站，“ Jetty廣泛應用于各種項目和產(chǎn)品，無論是開發(fā)階段還是生產(chǎn)階段。Jetty易于嵌入到設備、工具、框架、應用程序服務器和現(xiàn)代云服務中，長期以來一直受到開發(fā)人員的青睞。”
當Jetty處理包含帶有大量質(zhì)量因子參數(shù)（Accept請求頭中的q值）的Accept請求頭的請求時，CPU使用率較高，服務器可能會進入拒絕服務狀態(tài)。新思科技研究人員認為，這是由于在org.eclipse.jetty.http.QuotedQualityCSV類的sort方法發(fā)現(xiàn)的漏洞導致：
Jetty中唯一可以觸發(fā)此行為的功能是：
- 默認錯誤處理-帶QuotedQualityCSV的Accept請求頭被用來確定要發(fā)回客戶端的內(nèi)容類型（html、文本、json和xml等）
- StatisticsServlet -使用帶有QuotedQualityCSV的Accept請求頭被用來確定發(fā)回客戶端的內(nèi)容類型（xml、json、text、html等）
- HttpServletRequest.getLocale（）-將 Accept-Language請求頭與QuotedQualityCSV一起使用，以確定在此調(diào)用中返回哪種“首選”語言
- HttpservletRequest.getLocales（）-與上面類似，但是根據(jù)Accept-Language請求頭上的質(zhì)量值返回一個有序的語言環(huán)境列表
- DefaultServlet -使用帶有QuotedQualityCSV的 Accept-Encoding請求頭以確定應將哪種預壓縮內(nèi)容以靜態(tài)內(nèi)容（與Web應用程序中的url模式不匹配的內(nèi)容）發(fā)回
受影響的軟件
- Eclipse Jetty 9.4.6.v20170531 至9.4.36.v20210114版本
- Eclipse Jetty 10.0.0版本
- Eclipse Jetty 11.0.0版本
影響
- CVSS 3.1 評分
- Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
- 評分5.3（中等）
漏洞可利用性指標：
- 攻擊途徑Attack Vector （AV）: N = Network 網(wǎng)絡
- 攻擊復雜程度Attack Complexity （AC）: L = Low低
- 所需權限Privileges Required （PR）: N = None 無
- 用戶交互User Interaction （UI）: N = None 無
- 范圍Scope （S）: U = Unchanged 無變化
影響指標
- 機密性影響Confidentiality Impact （C）: N = None 無
- 完整性影響Integrity Impact （I）: N = None 無
- 可用性影響Availability Impact （A）: L = Low低
修復
強烈建議Jetty的軟件供應商和用戶升級到9.4.38.v20210224、10.0.1或11.0.1版本。
漏洞發(fā)現(xiàn)者
- 位于芬蘭奧盧的新思科技網(wǎng)絡安全研究中心的研究人員Matti Varanka和Tero Rontti
- 憑借Defensics模糊測試工具發(fā)現(xiàn)了此漏洞。
- 新思科技感謝Webtide（Jetty的維護團隊）及時地響應并修復此漏洞。
時間線
- 2021年1月5日：發(fā)現(xiàn)Jetty的漏洞
- 2021年2月10日：將漏洞信息反饋給Webtide（Jetty的維護團隊）
- 2021年2月11日：Webtide確認Jetty存在漏洞，歸為CVE-2020-27223
- 2021年2月22日：Webtide 發(fā)布修復
- 2021年2月26日：發(fā)布CVE-2020-27223修復建議
原文鏈接：
https://www.synopsys.com/blogs/software-security/cve-2020-27223-jetty/
