CVE-2022-24818

ÉlevéPublié

Recherches JNDI non contrôlées dans GeoTools

Publié: 13 avr. 2022
Mise à jour: 23 avr. 2025
Attribution de CNA: GitHub_M
Preuve observée: 8 août 2026

CVSS primaire

8,2/ 10Élevé

nvd · CVSS 3.1

CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Estimation de probabilité EPSS

2,4 %

Faible · 30 prochains jours

Percentile: 83,2 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

Résumé

GeoTools est une bibliothèque Java open source qui fournit des outils pour les données géospatiales. La bibliothèque GeoTools dispose d'un certain nombre de sources de données capables d'effectuer des recherches JNDI non contrôlées, lesquelles peuvent à leur tour être utilisées pour effectuer une désérialisation de classes et aboutir à une exécution de code arbitraire. Semblable au cas Log4J, la vulnérabilité peut être déclenchée si les noms JNDI sont fournis par l'utilisateur, mais nécessite une connexion de niveau administrateur pour être déclenchée. Les recherches sont désormais restreintes dans GeoTools 26.4, GeoTools 25.6 et GeoTools 24.6. Les utilisateurs qui ne peuvent pas mettre à niveau doivent s'assurer que toute application en aval n'autorise pas l'utilisation de chaînes JNDI fournies à distance.

Sources

CVE-2022-24818PoC
CVE-2022-24818 : Désérialisation Java via des recherches JNDI non contrôlées dans GeoServer et GeoTools

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.