CVE-2024-36401

Zusammenfassung

GeoServer ist ein Open-Source-Server, der es Benutzern ermöglicht, Geodaten zu teilen und zu bearbeiten. Vor den Versionen 2.22.6, 2.23.6, 2.24.4 und 2.25.2 ermöglichen mehrere OGC-Anfrageparameter nicht authentifizierten Benutzern die Remote Code Execution (RCE) durch speziell präparierte Eingaben gegen eine Standard-GeoServer-Installation, da Eigenschaftsnamen unsicher als XPath-Ausdrücke ausgewertet werden. Die GeoTools-Bibliotheks-API, die GeoServer aufruft, wertet Eigenschafts-/Attributnamen für Feature-Typen auf eine Weise aus, die sie unsicher an die Bibliothek commons-jxpath weitergibt, die bei der Auswertung von XPath-Ausdrücken beliebigen Code ausführen kann. Diese XPath-Auswertung soll nur von komplexen Feature-Typen (d. h. Application-Schema-Datenspeichern) verwendet werden, wird jedoch fälschlicherweise auch auf einfache Feature-Typen angewendet, wodurch diese Schwachstelle für **ALLE** GeoServer-Instanzen gilt. Es wird kein öffentlicher PoC bereitgestellt, aber es wurde bestätigt, dass diese Schwachstelle über WFS-GetFeature-, WFS-GetPropertyValue-, WMS-GetMap-, WMS-GetFeatureInfo-, WMS-GetLegendGraphic- und WPS-Execute-Anfragen ausnutzbar ist. Diese Schwachstelle kann zur Ausführung beliebigen Codes führen. Die Versionen 2.22.6, 2.23.6, 2.24.4 und 2.25.2 enthalten einen Patch für das Problem. Ein Workaround besteht darin, die Datei `gt-complex-x.y.jar` aus dem GeoServer zu entfernen, wobei `x.y` die GeoTools-Version ist (z. B. `gt-complex-31.1.jar`, wenn GeoServer 2.25.1 ausgeführt wird). Dadurch wird der anfällige Code aus GeoServer entfernt, aber einige GeoServer-Funktionen könnten beeinträchtigt werden oder die Bereitstellung von GeoServer könnte verhindert werden, wenn das gt-complex-Modul benötigt wird.

• CVE-2024-36401Exploit

  CVE-2024-36401 (GeoServer Remote-Code-Ausführung)