CVE-2024-36404

概要

GeoTools は、地理空間データのためのツールを提供するオープンソースの Java ライブラリです。バージョン 31.2、30.4、29.6 より前のバージョンでは、アプリケーションが特定の GeoTools 機能を使用して、ユーザー入力によって提供される XPath 式を評価する場合、リモートコード実行 (RCE) が可能です。バージョン 31.2、30.4、29.6 には、この問題に対する修正が含まれています。回避策として、GeoTools は、アプリケーションから `gt-complex` jar を削除することで、機能を縮小して動作させることができます。影響の例として、アプリケーションスキーマの `datastore` は、XPath 式を使用して複雑なコンテンツをクエリする機能がないと機能しません。あるいは、SourceForge からバージョン 31.1、30.3、30.2、29.2、28.2、27.5、27.4、26.7、26.4、25.2、24.0 用のドロップイン置換 GeoTools jar を利用することもできます。これらの jar はダウンロード専用であり、maven central からは入手できません。影響を受けるアプリケーションに迅速に修正を提供することを目的としています。

• GeoServerExploitエクスプロイト

  GeoServer（CVE-2024-36401/CVE-2024-36404）エクスプロイトツール

• cve-2024-36401-geoserver-rceエクスプロイト

  CVE-2024-36401の再現可能な研究：JXPath evalインジェクションによるGeoServerの認証なしRCE。技術レポート、動作するエクスプロイト/検証ツール、および脆弱なインスタンスとパッチ適用済みインスタンスで欠陥を示すDocker環境が含まれます。