CVE-2024-36404

सारांश

GeoTools एक ओपन सोर्स Java लाइब्रेरी है जो भू-स्थानिक (geospatial) डेटा के लिए उपकरण प्रदान करती है। संस्करण 31.2, 30.4, और 29.6 से पहले, रिमोट कोड एक्ज़ीक्यूशन (RCE) संभव है यदि कोई एप्लिकेशन उपयोगकर्ता इनपुट द्वारा प्रदान किए गए XPath एक्सप्रेशन का मूल्यांकन करने के लिए कुछ GeoTools कार्यक्षमता का उपयोग करता है। संस्करण 31.2, 30.4, और 29.6 में इस समस्या का समाधान शामिल है। एक वर्कअराउंड के रूप में, GeoTools अपने एप्लिकेशन से `gt-complex` jar को हटाकर कम कार्यक्षमता के साथ संचालित हो सकता है। प्रभाव के एक उदाहरण के रूप में, एप्लिकेशन स्कीमा `datastore` जटिल सामग्री को क्वेरी करने के लिए XPath एक्सप्रेशन का उपयोग करने की क्षमता के बिना कार्य नहीं करेगा। वैकल्पिक रूप से, कोई व्यक्ति संस्करण 31.1, 30.3, 30.2, 29.2, 28.2, 27.5, 27.4, 26.7, 26.4, 25.2, और 24.0 के लिए SourceForge से ड्रॉप-इन प्रतिस्थापन GeoTools jar का उपयोग कर सकता है। ये jar केवल डाउनलोड के लिए हैं और maven central से उपलब्ध नहीं हैं, जिनका उद्देश्य प्रभावित एप्लिकेशनों को तुरंत समाधान प्रदान करना है।

• GeoServerExploitएक्सप्लॉइट

  GeoServer (CVE-2024-36401/CVE-2024-36404) भेद्यता शोषण उपकरण

• cve-2024-36401-geoserver-rceएक्सप्लॉइट

  CVE-2024-36401 का प्रतिलिपि योग्य अध्ययन: JXPath eval इंजेक्शन के माध्यम से GeoServer में अप्रमाणित RCE। इसमें तकनीकी रिपोर्ट, कार्यशील शोषण/सत्यापक, और कमजोर बनाम पैच किए गए इंस्टेंस पर दोष प्रदर्शित करने वाला Docker वातावरण शामिल है।