Eclipse Jetty: JASPIAuthenticator कोड से जल्दी वापसी संभावित रूप से ThreadLocal चर को साफ़ नहीं कर सकती है

CVE-2026-5795 org.eclipse.jetty.ee11:jetty-ee11-jaspi को प्रभावित करता है, जो Jetty का उपयोग करके Jaspi के साथ प्रमाणीकरण करने वाले वेब अनुप्रयोगों को प्रभावित करता है। यह दोष ThreadLocal में संग्रहीत प्रमाणीकरण मेटाडेटा के प्रबंधन में है। यदि GroupPrincipalCallback ThreadLocal में लगातार बना रहता है और प्रमाणीकरण प्रक्रिया समय से पहले समाप्त हो जाती है (उदाहरण के लिए, त्रुटि के कारण या आवश्यक CallerPrincipalCallback की कमी के कारण), तो प्रमाणीकरण डेटा ThreadLocal में रह सकता है। यह एक हमलावर को विशिष्ट परिदृश्यों में पिछले उपयोगकर्ता के प्रमाणीकरण जानकारी को पुन: उपयोग या हेरफेर करने की अनुमति दे सकता है, जिससे संरक्षित संसाधनों तक अनधिकृत पहुंच प्राप्त हो सकती है। CVSS गंभीरता 7.4 है, जो उच्च जोखिम का संकेत देता है। इस समस्या को कम करने के लिए संस्करण 12.1.8 में अपडेट करना महत्वपूर्ण है।

Organizations using Jetty EE11 Jaspi in their web applications, particularly those relying on it for authentication and authorization, are at risk. This includes deployments where Jetty is integrated with other Java EE components or used as a reverse proxy. Applications handling sensitive data or critical business processes are particularly vulnerable.

• java / server: Monitor Jetty logs for unusual authentication patterns or errors related to GroupPrincipalCallback and CallerPrincipalCallback.

grep -i 'GroupPrincipalCallback|CallerPrincipalCallback' /path/to/jetty/logs/jetty.log

• java / server: Use a Java profiler to inspect ThreadLocal variables during authentication flows and identify instances where authentication metadata is not being properly cleared. • generic web: Examine authentication endpoints for unexpected behavior or responses that might indicate a bypass. • generic web: Check for unusual user sessions or access patterns that don't align with expected user behavior.

1. 2026-04-14Disclosure

   disclosure

1. आरक्षित2026-04-08
2. प्रकाशित2026-04-14
3. EPSS अद्यतन2026-04-16

अनुशंसित समाधान jetty-ee11-jaspi लाइब्रेरी को संस्करण 12.1.8 या उच्चतर में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो यह सुनिश्चित करता है कि ThreadLocal में प्रमाणीकरण मेटाडेटा सभी स्थितियों में सही ढंग से साफ़ किया गया है, भले ही त्रुटियां हों या प्रमाणीकरण प्रक्रिया समय से पहले समाप्त हो जाए। यदि तत्काल अपडेट संभव नहीं है, तो Jaspi प्रमाणीकरण संदर्भ में ThreadLocal के उचित सफाई पर निर्भर करने वाले किसी भी तर्क की पहचान करने और ठीक करने के लिए अपने एप्लिकेशन कोड की जांच करें। किसी भी परिवर्तन के बाद पूरी तरह से परीक्षण करना सुरक्षा सुनिश्चित करने के लिए आवश्यक है।