CVE-2023-25157-and-CVE-2023-25158

- हमले की सतह को सीमित करने के लिए एक अच्छे अभ्यास के रूप में, कनेक्शन पूल के लिए उपयोग किए जाने वाले डेटाबेस खाते को न्यूनतम आवश्यक विशेषाधिकार स्तर देना महत्वपूर्ण है (जैसे, केवल-पठन जब तक कि WFS-T/importer/REST granule harvesting का उपयोग न किया जाए, उत्पादन उपयोग के लिए आवश्यक केवल schemas और tables तक सीमित पहुंच)
- `PropertyIsLike` फ़िल्टर के लिए कोई मिटिगेशन उपलब्ध नहीं है, आप अपग्रेड करने में सक्षम होने तक डेटाबेस DataStores को अक्षम करना चुन सकते हैं।
- Oracle DataStore के साथ `DWithin` के लिए कोई मिटिगेशन उपलब्ध नहीं है, आप अपग्रेड करने में सक्षम होने तक Oracle DataStores को अक्षम करना चुन सकते हैं।
### <b>पैच विश्लेषण: GitHub इश्यू और संबंधित कमिट्स</b>
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
नीचे GeoServer और GeoTools दोनों में पाई गई SQL Injection कमजोरियों से संबंधित कई प्रासंगिक JIRA इश्यूज़ के लिंक दिए गए हैं। ये लिंक इन विशेष कमजोरियों से संबंधित महत्वपूर्ण डेटा, चर्चाओं और प्रस्तावित समाधानों तक पहुंच प्रदान करते हैं।
- [GEOS-10842: JDBCConfig: SQL क्वेरीज़ में उपयोगकर्ता इनपुट को escape करें](https://osgeo-org.atlassian.net/browse/GEOS-10842)
- [GEOS-10839: JDBCConfig: SQL कमेंट्स और pretty-printing को अक्षम करने के लिए JDBC कॉन्फ़िगरेशन पैरामीटर जोड़ें](https://osgeo-org.atlassian.net/browse/GEOS-10839)
- [GEOT-7302: SQL क्वेरीज़ में उपयोगकर्ता इनपुट को escape करें](https://osgeo-org.atlassian.net/browse/GEOT-7302)

जब [`geoserver/geoserver@145a8af`](https://github.com/geotools/geotools/commit/64fb4c47f43ca818c2fe96a94651bff1b3b3ed2b) कमिट को देखते हैं, तो निम्नलिखित परिवर्तन क्रमशः स्पष्ट रूप से देखे जा सकते हैं:

- [`ConfigDatabase.java`](https://github.com/geoserver/geoserver/blob/b05287608048d0f6e36c264f43fe15aa5dfb5130/src/community/jdbcconfig/src/main/java/org/geoserver/jdbcconfig/internal/ConfigDatabase.java) में, एक प्रॉपर्टी फ़ील्ड जोड़ा गया है और इस प्रॉपर्टी फ़ील्ड को शामिल करने के लिए कंस्ट्रक्टरों में परिवर्तन किए गए हैं। यह डेटाबेस कॉन्फ़िगरेशन के अधिक अनुकूलन की अनुमति देता है, और संभावित रूप से उन्नत सुरक्षा उपायों को सक्षम बनाता है। [`NamedParameterJdbcTemplate`](https://docs.spring.io/spring-framework/docs/current/javadoc-api/org/springframework/jdbc/core/namedparam/NamedParameterJdbcTemplate.html) Spring Framework द्वारा प्रदान की गई एक क्लास है जो क्लासिक प्लेसहोल्डर ('?') तर्कों के बजाय नामित पैरामीटरों का उपयोग करके JDBC स्टेटमेंट प्रोग्रामिंग के लिए समर्थन जोड़ती है। कमिट में, `ConfigDatabase` कंस्ट्रक्टर को एक `DataSource` लेने और उससे एक `NamedParameterJdbcTemplate` बनाने के लिए अपडेट किया गया है। नामित पैरामीटर पठनीयता में सुधार करते हैं और SQL injection हमलों को भी रोक सकते हैं क्योंकि वे यह स्पष्ट करते हैं कि तर्क पैरामीटराइज़्ड है, SQL कमांड का हिस्सा नहीं है।
  > [src/community/jdbcconfig/src/main/java/org/geoserver/jdbcconfig/internal/ConfigDatabase.java](https://github.com/geoserver/geoserver/commit/145a8af798590288d270b240235e89c8f0b62e?diff=split#diff-1b49bc6af3f36da2ebf7a0d8d3af3fa3697ccee91bf67a690f99837ee2730bed)```java
    /* (c) 2014 Open Source Geospatial Foundation - all rights reserved
     * (c) 2001 - 2013 OpenPlans
     * This code is licensed under the GPL 2.0 license, available at the root
     * application directory.
     */
    package org.geoserver.jdbcconfig.internal;
    // import some packages...
    import org.geoserver.jdbcloader.JDBCLoaderProperties;

    public class ConfigDatabase implements ApplicationContextAware {
        public static final Logger LOGGER = Logging.getLogger(ConfigDatabase.class);
        private static final int LOCK_TIMEOUT_SECONDS = 60;

        private Dialect dialect;

        private JDBCLoaderProperties properties;
        // rest of the codebase

        protected ConfigDatabase() {
            //
        }

        public ConfigDatabase(
                JDBCLoaderProperties properties,
                DataSource dataSource,
                XStreamInfoSerialBinding binding) {
            this(properties, dataSource, binding, null);
        }

        public ConfigDatabase(
                JDBCLoaderProperties properties,
                final DataSource dataSource,
                final XStreamInfoSerialBinding binding,
                CacheProvider cacheProvider) {
            this.properties = properties;
            this.binding = binding;
            this.template = new NamedParameterJdbcTemplate(dataSource);
            // cannot use dataSource at this point due to spring context config hack

- [`QueryBuilder.java`](https://github.com/geoserver/geoserver/blob/b05287608048d0f6e36c264f43fe15aa5dfb5130/src/community/jdbcconfig/src/main/java/org/geoserver/jdbcconfig/internal/QueryBuilder.java) में `sql` StringBuilder ऑब्जेक्ट को String ऑब्जेक्ट से प्रतिस्थापित किया गया है। यह परिवर्तन SQL Injection हमलों को रोकने में महत्वपूर्ण हो सकता है क्योंकि StringBuilder ऑब्जेक्ट, जो mutable होते हैं, SQL क्वेरी में अनजाने या दुर्भावनापूर्ण संशोधन की ओर ले जा सकते हैं। इसे String से प्रतिस्थापित करना, जो immutable है, ऐसे संशोधनों को रोकने में सहायता कर सकता है और इस प्रकार SQL Injection को रोक सकता है।
  > [src/community/jdbcconfig/src/main/java/org/geoserver/jdbcconfig/internal/QueryBuilder.java](https://github.com/geoserver/geoserver/commit/145a8af798590288d270b240235e89c8f0b62e?diff=split#diff-a393e831a86b6020d56c521d7b9135179daa804e2cb435b19d85d76eb5d0544bL131-R131)```java
    // private void querySortBy(StringBuilder query, StringBuilder whereClause, SortBy[] orders) {
    private void querySortBy(StringBuilder query, String whereClause, SortBy[] orders) {
         /*
         * Start with the oid and id from the object table selecting for type and the filter.
         *
         * Then left join on oid for each property to sort by to turn it into an attribute.
         *
         * The sort each of the created attribute.
         */

- SQL में टिप्पणियाँ जोड़ना: `appendComment` नामक एक नई विधि [`Dialect.java`](https://github.com/geoserver/geoserver/blob/b05287608048d0f6e36c264f43fe15aa5dfb5130/src/community/jdbcconfig/src/main/java/org/geoserver/jdbcconfig/internal/Dialect.java) क्लास में जोड़ी गई है ताकि SQL में ऑब्जेक्ट्स को टिप्पणी के रूप में संलग्न किया जा सके। यदि डिबग मोड सक्षम नहीं है, तो ये विधियाँ केवल मूल SQL लौटाती हैं। यदि डिबग मोड सक्षम है, तो वे प्रदान किए गए ऑब्जेक्ट्स की स्ट्रिंग प्रस्तुति को टिप्पणी के रूप में SQL में संलग्न करती हैं। टिप्पणियों को `escapeComment` विधि का उपयोग करके सुरक्षित रूप से एस्केप किया जाता है।
  > [src/community/jdbcconfig/src/main/java/org/geoserver/jdbcconfig/internal/Dialect.java](https://github.com/geoserver/geoserver/commit/145a8af798590288d270b240235e89c8f0b62e?diff=split#diff-b224c54b2d06ede45d4a45d34d64452aaeae70fbe60210e800d85df98a60e432R55-R65)```java
    /** Appends the objects to the SQL in a comment if debug mode is enabled. */
    public StringBuilder appendComment(StringBuilder sql, Object...objects) {
        if (!debugMode) {
            return sql;
        }
        sql.append(" /* ");
        for (Object object: objects) {
            sql.append(escapeComment(String.valueOf(object)));
        }
        return sql.append(" */\n");
    }
    /** Appends the objects to the SQL in an comment if debug mode is enabled. */
    public StringBuilder appendComment(Object sql, Object...objects) {
        return appendComment((StringBuilder) sql, objects);
    }
    /** Appends one of the strings to the SQL depending on whether debug mode is enabled. */
    public StringBuilder appendIfDebug(StringBuilder sql, String ifEnabled, String ifDisabled) {
        return sql.append(debugMode ? ifEnabled : ifDisabled);
    }

जब [`geotools/geotools@64fb4c4`](https://github.com/geotools/geotools/commit/64fb4c47f43ca818c2fe96a94651bff1b3b3ed2b) कमिट को देखते हैं, तो निम्नलिखित परिवर्तन क्रमशः स्पष्ट रूप से देखे जा सकते हैं:

- `escapeBackslash` फ़ील्ड का [`modules/library/jdbc/src/main/java/org/geotools/data/jdbc/FilterToSQL.java`](https://github.com/geotools/geotools/commit/64fb4c47f43ca818c2fe96a94651bff1b3b3ed2b?diff=split#diff-bd6d9db0d247e2fa5b149e6e281e39d27da9eecb7b755cb5f9be01aa975aca2e) क्लास में जोड़ना एक एहतियाती उपाय है, जो SQL इंजेक्शन के कुछ रूपों को रोकने के लिए है, जहाँ बैकस्लैश वर्ण का उपयोग SQL सिंटैक्स में विशेष वर्णों को एस्केप करने के लिए किया जाता है। स्ट्रिंग लिटरल्स में बैकस्लैश को एस्केप करने का विकल्प प्रदान करके, डेवलपर्स एप्लिकेशन को बैकस्लैश वर्णों को एस्केप वर्णों के बजाय सादे पाठ के रूप में मानने की अनुमति दे रहे हैं, जो बदले में SQL इंजेक्शन की संभावनाओं को सीमित कर सकता है
ये परिवर्तन यह सुनिश्चित करके SQL इंजेक्शन को रोकने के लिए मिलकर काम करते हैं कि स्ट्रिंग लिटरल्स में विशेष वर्ण (जैसे सिंगल और डबल कोट्स तथा बैकस्लैश) SQL क्वेरी में शामिल किए जाने से पहले ठीक से एस्केप किए जाएँ। यह SQL इंजेक्शन कमजोरियों को कम करने का एक सामान्य तरीका है। जब `escapeBackslash` को true पर सेट किया जाता है, तो [`EscapeSql`](https://github.com/geotools/geotools/blob/2da7f4f8cc746dc3d4a31a6323a76797a99e7997/modules/library/jdbc/src/main/java/org/geotools/jdbc/EscapeSql.java#L28) क्लास की [`escapeLiteral()`](https://github.com/geotools/geotools/commit/64fb4c47f43ca818c2fe96a94651bff1b3b3ed2b?diff=split#diff-9c2f3a1daafd589eb6305170ffa40db051aeda5ae26c22b3438ba5923b451ab7R36-R49) विधि को कॉल करने पर स्ट्रिंग लिटरल्स में बैकस्लैश एस्केप हो जाएँगे। यह विधि [`FilterToSQL.java`](https://github.com/geotools/geotools/blob/main/modules/library/jdbc/src/main/java/org/geotools/data/jdbc/FilterToSQL.java) क्लास में विभिन्न स्थानों पर स्ट्रिंग लिटरल्स को SQL क्वेरी में शामिल करने से पहले एस्केप करने के लिए उपयोग की जाती है। उदाहरण के लिए, [पंक्ति 1762](https://github.com/geotools/geotools/commit/64fb4c47f43ca818c2fe96a94651bff1b3b3ed2b?diff=split#diff-bd6d9db0d247e2fa5b149e6e281e39d27da9eecb7b755cb5f9be01aa975aca2eR1761-R1762)```java
  // single quotes must be escaped to have a valid sql string
  String escaped = escapeLiteral(encoding);

By doing this, the application is able to ensure that all special characters in the SQL string are properly escaped, which is a more robust and secure approach to preventing SQL injection.
- `convertToSQL92` विधि में परिवर्तन: `LikeFilterImpl.convertToSQL92` विधि एक पैटर्न को मानक SQL 'LIKE' सिंटैक्स से SQL-92 सिंटैक्स में परिवर्तित करती है। इस कमिट में, उन्होंने इस विधि में एक नया पैरामीटर जोड़ा। यह परिवर्तन [`FilterToSQL.java`](https://github.com/geotools/geotools/blob/main/modules/library/jdbc/src/main/java/org/geotools/data/jdbc/FilterToSQL.java) क्लास की [लाइन 547](https://github.com/geotools/geotools/commit/64fb4c47f43ca818c2fe96a94651bff1b3b3ed2b?diff=split#diff-bd6d9db0d247e2fa5b149e6e281e39d27da9eecb7b755cb5f9be01aa975aca2eR546-R547) पर मौजूद विधि से है:```java
  // String pattern = LikeFilterImpl.convertToSQL92(esc, multi, single, matchCase, literal);
  String pattern = LikeFilterImpl.convertToSQL92(esc, multi, single, matchCase, literal, false);

दूसरी ओर, `writeLiteral()` संभवतः स्ट्रिंग को आउटपुट स्ट्रीम में लिखे जाने से पहले किसी प्रकार की एस्केपिंग या सैनिटाइज़िंग लागू करता है, जिससे SQL इंजेक्शन का जोखिम कम हो जाता है। यह परिवर्तन सीधे लिखने की क्रिया को `writeLiteral()` के कॉल से भी बदल देता है, जिसमें संभवतः SQL इंजेक्शन को रोकने के लिए सावधानियाँ शामिल हैं।```java
  // out.write(attValues.get(j).toString());
  writeLiteral(attValues.get(j));

![1-get-available-feature-names - Copy](https://assets.kitploit.com/production/public/readmes/29664/1a9741582c0f6afca6ac3d694801f70d78a0d47ea3351ad086a6f653796ad362.png)

उपलब्ध फीचर नाम प्राप्त करने के बाद, हमें संबंधित उपलब्ध फीचर्स के लिए उपलब्ध प्रॉपर्टीज़ प्राप्त करने हेतु निम्नलिखित HTTP अनुरोध भेजना होगा।```
GET /geoserver/ows?service=wfs&version=1.0.0&request=GetFeature&typeName=<nameOftheAvailabeFeatureHere>&maxFeatures=1&outputFormat=json HTTP/1.1
Host: vulnerablehost
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close

![3-injection-of-sql-query - Copy](https://assets.kitploit.com/production/public/readmes/29664/b9349929ed21ec2bb21d8819c4417804b455c5b3b5186433816da88a9864abe6.png)

### <b>निष्कर्ष</b>
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
निष्कर्षतः, CVE-2023-25157 और CVE-2023-25158 द्वारा रेखांकित GeoServer और GeoTools में इन SQL इंजेक्शन भेद्यताओं की खोज, डिजिटल परिदृश्य में हमेशा मौजूद खतरों की एक कड़ी याद दिलाती है। कोर OGC फ़िल्टर और फ़ंक्शन एक्सप्रेशन के भीतर स्थित ये भेद्यताएँ, महत्वपूर्ण व्यवधान और अनधिकृत डेटा पहुँच या संशोधन का कारण बन सकती हैं।

इन भेद्यताओं के निवारण के बारे में अधिक जानकारी के लिए, कृपया निम्नलिखित संसाधनों पर जाएँ:

- भेद्यता को ठीक करने के लिए उपयोग किया गया कमिट: [geoserver/geoserver@145a8af](https://github.com/geoserver/geoserver/commit/145a8af798590288d270b240235e89c8f0b62e1d)
- भेद्यता को ठीक करने के लिए उपयोग किया गया कमिट: [geotools/geotools@64fb4c4](https://github.com/geotools/geotools/commit/64fb4c47f43ca818c2fe96a94651bff1b3b3ed2b)
- [GeoServer OGC फ़िल्टर SQL इंजेक्शन भेद्यता](https://geoserver.org/vulnerability/2023/02/20/ogc-filter-injection.html) और [GeoTools OGC फ़िल्टर SQL इंजेक्शन भेद्यता](http://geotoolsnews.blogspot.com/2023/02/geotools-274-released.html)
- [GitHub सलाहकार डेटाबेस (GitHub द्वारा समीक्षित): GeoServer SQL इंजेक्शन](https://github.com/advisories/GHSA-7g5f-wrx8-5ccf), [GeoServer सलाहकार डेटाबेस: GeoServer पर SQL इंजेक्शन](https://github.com/geoserver/geoserver/security/advisories/GHSA-7g5f-wrx8-5ccf) और [GeoTools सलाहकार डेटाबेस: GeoTools पर SQL इंजेक्शन](https://github.com/geotools/geotools/security/advisories/GHSA-99c3-qc2q-p94m)
- [GeoServer के लिए NIST सलाह: CVE-2023-25157](https://nvd.nist.gov/vuln/detail/CVE-2023-25157) और [GeoTools के लिए NIST सलाह: CVE-2023-25158](https://nvd.nist.gov/vuln/detail/CVE-2023-25158)
- [GeoServer के लिए MITRE सलाह: CVE-2023-25157](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-25157) और [GeoTools के लिए MITRE सलाह: CVE-2023-25158](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-25158)