Descripción
Un cliente no autenticado podría acceder a ciertos recursos protegidos al usar EthereumAuthenticator si la ruta de la solicitud contiene la ruta de inicio de sesión configurada. Esto se debe a que el autenticador utiliza una coincidencia de subcadena no anclada al identificar la página de inicio de sesión. Si la ruta de inicio de sesión aparece más adelante dentro de una ruta de solicitud protegida, la solicitud podría tratarse como la página de inicio de sesión y su requisito de autenticación o de rol podría reemplazarse por ALLOWED. La explotación requiere que la ruta del recurso protegido contenga la ruta de inicio de sesión configurada como un segmento posterior. Las rutas marcadas explícitamente como FORBIDDEN no se ven afectadas.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Producto no informado Afectadas: 12.1.0 a 12.1.12
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/jetty/jetty.project/security/advisories/GHSA-6m7j-pjmp-crgq
- Referencia en gitlab.eclipse.orggitlab.eclipse.org/security/cve-assignment/-/work_items/230
Ver el texto original en inglés (CVE.org)
An unauthenticated client may access certain protected resources when using EthereumAuthenticator if the request path contains the configured login path. This is caused by the authenticator using an unanchored substring match when identifying the login page. If the login path appears later within a protected request path, the request may be treated as the login page and its authentication or role requirement replaced with ALLOWED. Exploitation requires the protected resource path to contain the configured login path as a later segment. Explicitly FORBIDDEN routes are not affected.