[CVE-2021-28164] Jetty - Information Disclosure

■ 실습 환경

1) 취약서버 - 192.168.164.151:8080 Jetty 9.4.37.v20210219

 

■ 취약점 설명

CVE-2021-28164 : %2e 또는 %2e%2e 문자가 포함된 URL 요청을 통해 WEB-INF 디렉토리 내 web.xml 파일에 접근이 가능함

※ Jetty 9.4.37.v20210219 ~ 9.4.38.v20210224 버전에서 발생

 

■ Exploit 

1. jetty 환경 구현

※ 참고 : https://www.itzgeek.com/how-tos/linux/centos-how-tos/install-jetty-web-server-on-centos-7-rhel-7.html

 

2. webapps 내 샘플 war 파일 이동

• jetty 내 demo-base 하위 webapps에 존재하는 샘플 async-rest.war 파일을 jetty webapps 디렉토리 하위로 이동

 

3. async-rest.war 파일 구조 확인

→ 로컬PC에서 압축해제하여 샘플파일인 async-rest.war 파일 구조 확인 시 해당 war파일 WEB-INF 파일 내 jetty-web.xml , web.xml 파일이 존재함을 확인

 

4. 공격 실행

Step01) %2e문자를 이용하여 async-rest.war 파일에 위치한 WEB-INF/web.xml 파일 조회가 가능함을 확인

Step02) %2e문자를 이용하여  async-rest.war 파일에 위치한 WEB-INF/jetty-web.xml 파일 조회가 가능함을 확인

 

■ 대응방안

1. Jetty 9.4.39 이상 버전 사용