Eclipse Jetty: JASPIAuthenticator クラスにおける認証チェックの開始と ThreadLocal 変数の設定、および早期リターン時の ThreadLocal のクリア漏れ

CVE-2026-5795 は、org.eclipse.jetty.ee11:jetty-ee11-jaspi に影響を与え、Jetty を使用して Jaspi で認証を行う Web アプリケーションに影響します。この欠陥は、ThreadLocal に格納されている認証メタデータの管理にあります。GroupPrincipalCallback が ThreadLocal に永続化され、認証プロセスが予期せず終了した場合 (たとえば、エラーまたは必須の CallerPrincipalCallback の欠落による)、認証データが ThreadLocal に残る可能性があります。これにより、特定のシナリオで攻撃者が以前のユーザーの認証情報を再利用または操作し、保護されたリソースへの不正アクセスを許可する可能性があります。CVSS の深刻度は 7.4 で、高いリスクを示しています。この問題を軽減するために、バージョン 12.1.8 に更新することが重要です。

Organizations using Jetty EE11 Jaspi in their web applications, particularly those relying on it for authentication and authorization, are at risk. This includes deployments where Jetty is integrated with other Java EE components or used as a reverse proxy. Applications handling sensitive data or critical business processes are particularly vulnerable.

• java / server: Monitor Jetty logs for unusual authentication patterns or errors related to GroupPrincipalCallback and CallerPrincipalCallback.

grep -i 'GroupPrincipalCallback|CallerPrincipalCallback' /path/to/jetty/logs/jetty.log

• java / server: Use a Java profiler to inspect ThreadLocal variables during authentication flows and identify instances where authentication metadata is not being properly cleared. • generic web: Examine authentication endpoints for unexpected behavior or responses that might indicate a bypass. • generic web: Check for unusual user sessions or access patterns that don't align with expected user behavior.

1. 2026-04-14Disclosure

   disclosure

1. 予約済み2026-04-08
2. 公開日2026-04-14
3. EPSS 更新日2026-04-16

推奨される解決策は、jetty-ee11-jaspi ライブラリをバージョン 12.1.8 以降に更新することです。このバージョンには、ThreadLocal 内の認証メタデータがエラーや認証プロセスの予期しない終了の場合でも、あらゆる状況で正しくクリアされるようにする修正が含まれています。直ちに更新できない場合は、Jaspi 認証コンテキスト内で ThreadLocal の適切なクリーンアップに依存する可能性のあるアプリケーションコードを調べて修正してください。変更後の徹底的なテストは、セキュリティを確保するために不可欠です。