CVE-2024-36401

Riepilogo

GeoServer è un server open source che consente agli utenti di condividere e modificare dati geospaziali. Prima delle versioni 2.22.6, 2.23.6, 2.24.4 e 2.25.2, molteplici parametri delle richieste OGC consentono l'esecuzione remota di codice (RCE) da parte di utenti non autenticati tramite input appositamente predisposti contro un'installazione predefinita di GeoServer, a causa della valutazione non sicura dei nomi delle proprietà come espressioni XPath. L'API della libreria GeoTools chiamata da GeoServer valuta i nomi di proprietà/attributi per i tipi di feature in un modo che li passa in modo non sicuro alla libreria commons-jxpath, la quale può eseguire codice arbitrario durante la valutazione delle espressioni XPath. Questa valutazione XPath dovrebbe essere utilizzata solo per i tipi di feature complessi (cioè i data store Application Schema), ma viene erroneamente applicata anche ai tipi di feature semplici, il che rende questa vulnerabilità applicabile a **TUTTE** le istanze di GeoServer. Non viene fornito alcun PoC pubblico, ma è stato confermato che questa vulnerabilità è sfruttabile tramite richieste WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic e WPS Execute. Questa vulnerabilità può portare all'esecuzione di codice arbitrario. Le versioni 2.22.6, 2.23.6, 2.24.4 e 2.25.2 contengono una patch per il problema. Esiste una soluzione alternativa che consiste nel rimuovere il file `gt-complex-x.y.jar` da GeoServer, dove `x.y` è la versione di GeoTools (ad es., `gt-complex-31.1.jar` se si utilizza GeoServer 2.25.1). Questo rimuoverà il codice vulnerabile da GeoServer ma potrebbe compromettere alcune funzionalità di GeoServer o impedire la distribuzione di GeoServer se il modulo gt-complex è necessario.

• CVE-2024-36401Exploit

  CVE-2024-36401 (GeoServer Esecuzione Remota di Codice)