CVE-2024-36401

概要

GeoServerは、ユーザーが地理空間データを共有および編集できるようにするオープンソースサーバーです。バージョン2.22.6、2.23.6、2.24.4、2.25.2より前のバージョンでは、複数のOGCリクエストパラメータにより、認証されていないユーザーがデフォルトのGeoServerインストールに対して特別に細工された入力を通じてリモートコード実行（RCE）を可能にします。これは、プロパティ名をXPath式として安全でない方法で評価するためです。GeoServerが呼び出すGeoToolsライブラリAPIは、フィーチャータイプのプロパティ/属性名を、commons-jxpathライブラリに安全でない方法で渡すように評価します。commons-jxpathライブラリはXPath式を評価するときに任意のコードを実行できます。このXPath評価は複雑なフィーチャータイプ（すなわち、Application Schemaデータストア）でのみ使用されることを意図していますが、単純なフィーチャータイプにも誤って適用されるため、この脆弱性は**すべての**GeoServerインスタンスに影響します。公開されたPoCは提供されていませんが、この脆弱性はWFS GetFeature、WFS GetPropertyValue、WMS GetMap、WMS GetFeatureInfo、WMS GetLegendGraphic、WPS Executeリクエストを通じて悪用可能であることが確認されています。この脆弱性は任意のコード実行につながる可能性があります。バージョン2.22.6、2.23.6、2.24.4、2.25.2にはこの問題のパッチが含まれています。回避策として、GeoServerから`gt-complex-x.y.jar`ファイルを削除する方法があります。ここで`x.y`はGeoToolsのバージョンです（例：GeoServer 2.25.1を実行している場合は`gt-complex-31.1.jar`）。これにより、GeoServerから脆弱なコードが削除されますが、一部のGeoServer機能が壊れたり、gt-complexモジュールが必要な場合にGeoServerのデプロイが妨げられる可能性があります。

• CVE-2024-36401エクスプロイト

  CVE-2024-36401 (GeoServer リモートコード実行)

• CVE-2024-36401エクスプロイト

  CVE-2024-36401のPOC。このPOCは、vlun標的からリバースシェルを確立しようとします。

• GeoServer-Tools-CVE-2024-36401