Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en encabezados de respuesta HTTP en una excepción en Eclipse Jetty (CVE-2019-17638)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
09/07/2020
Última modificación:
07/11/2023

Descripción

En Eclipse Jetty, versiones 9.4.27.v20200227 hasta 9.4.29.v20200521, en el caso de encabezados de respuesta demasiado grandes, Jetty lanza una excepción para producir un error HTTP 431. Cuando esto sucede, el ByteBuffer que contiene los encabezados de respuesta HTTP es devuelto al ByteBufferPool dos veces. Debido a esta doble versión, dos subprocesos (hilos) pueden adquirir el mismo ByteBuffer del grupo y, mientras que thread1 está a punto de usar ByteBuffer para escribir datos de response1, thread2 llena el ByteBuffer con otros datos. Thread1 luego procede a escribir el búfer que ahora contiene datos diferentes. Esto resulta en que el cliente1, que emitió la petición1, ve los datos de otra petición o respuesta que podría contener datos sensibles pertenecientes al cliente2 (identificaciones de sesión HTTP, credenciales de autenticación, etc.). Si no se puede actualizar la versión del muelle, la vulnerabilidad se puede reducir significativamente configurando un responseHeaderSize significativamente mayor que el requestHeaderSize (12KB responseHeaderSize y 8KB requestHeaderSize)

Impacto

Vector 3.x
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.40 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x
9.40
Gravedad 3.x
CRÍTICA
Vector 2.0
AV:N/AC:L/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: AV:N/AC:L/Au:N/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico

Puntuación base 2.0
7.50
Gravedad 2.0
ALTA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:eclipse:jetty:9.4.27:20200227:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:9.4.28:20200408:*:*:*:*:*:*
cpe:2.3:a:eclipse:jetty:9.4.29:20200521:*:*:*:*:*:*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página


Referencias a soluciones, herramientas e información