Eclipse Jetty: JASPIAuthenticator 代码中的早期返回可能无法清除 ThreadLocal 变量

CVE-2026-5795 影响 org.eclipse.jetty.ee11:jetty-ee11-jaspi，影响使用 Jetty 和 Jaspi 进行身份验证的 Web 应用程序。该漏洞在于 ThreadLocal 中存储的身份验证元数据管理。如果 GroupPrincipalCallback 持续存在于 ThreadLocal 中，并且身份验证过程过早终止（例如，由于错误或缺少必需的 CallerPrincipalCallback），则身份验证数据可能会保留在 ThreadLocal 中。这可能允许攻击者在特定场景下重用或操纵以前用户的身份验证信息，从而获得对受保护资源的未经授权的访问。CVSS 严重性为 7.4，表明存在高风险。为了减轻此问题，必须更新到版本 12.1.8。

Organizations using Jetty EE11 Jaspi in their web applications, particularly those relying on it for authentication and authorization, are at risk. This includes deployments where Jetty is integrated with other Java EE components or used as a reverse proxy. Applications handling sensitive data or critical business processes are particularly vulnerable.

• java / server: Monitor Jetty logs for unusual authentication patterns or errors related to GroupPrincipalCallback and CallerPrincipalCallback.

grep -i 'GroupPrincipalCallback|CallerPrincipalCallback' /path/to/jetty/logs/jetty.log

• java / server: Use a Java profiler to inspect ThreadLocal variables during authentication flows and identify instances where authentication metadata is not being properly cleared. • generic web: Examine authentication endpoints for unexpected behavior or responses that might indicate a bypass. • generic web: Check for unusual user sessions or access patterns that don't align with expected user behavior.

1. 2026-04-14Disclosure

   disclosure

1. 已保留2026-04-08
2. 发布日期2026-04-14
3. EPSS 更新日期2026-04-16

建议的解决方案是将 jetty-ee11-jaspi 库更新到版本 12.1.8 或更高版本。此版本包含修复程序，可确保在所有情况下（即使在发生错误或身份验证过程过早终止的情况下）正确清除 ThreadLocal 中的身份验证元数据。如果无法立即更新，请检查您的应用程序代码，以识别和更正任何可能依赖于 Jaspi 身份验证上下文中 ThreadLocal 适当清理的逻辑。进行任何更改后的彻底测试对于确保安全至关重要。