CVE-2024-6763

Eclipse Jetty (versões afetadas não especificadas)

A classe HttpURI no Eclipse Jetty realiza uma validação insuficiente do segmento de autoridade de um URI, o que pode levar a diferenças na forma como lida com URIs inválidos em comparação com navegadores comuns. Essa discrepância pode tornar uma combinação do Jetty com um navegador vulnerável suscetível a ataques de redirecionamento aberto ou ataques de falsificação de solicitação do lado do servidor (SSRF) se a URI for usada após passar pelas verificações de validação. A vulnerabilidade pode ser explorada por um invasor para contornar proteções configuradas por desenvolvedores para hosts específicos, resultando em vulnerabilidades de SSRF e redirecionamento de URL.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Como solução temporária, considere validar o segmento de autoridade das URIs antes de passá-las para a classe HttpURI, a fim de minimizar o risco de exploração.

Restrinja o acesso à classe HttpURI para impedir que ela seja usada com entradas de usuário não validadas.

Evite usar a classe HttpURI com dados de usuário decodificados como uma URI codificada para evitar possíveis vulnerabilidades.

Por fim, será necessário atualizar para uma versão da classe que valide totalmente os caracteres da autoridade da URI para resolver o problema.