CVE-2024-36401

Resumo

GeoServer é um servidor de código aberto que permite aos usuários compartilhar e editar dados geoespaciais. Antes das versões 2.22.6, 2.23.6, 2.24.4 e 2.25.2, vários parâmetros de solicitação OGC permitem Execução Remota de Código (RCE) por usuários não autenticados por meio de entrada especialmente criada contra uma instalação padrão do GeoServer, devido à avaliação insegura de nomes de propriedades como expressões XPath. A API da biblioteca GeoTools que o GeoServer chama avalia nomes de propriedades/atributos de tipos de feições de uma maneira que os passa de forma insegura para a biblioteca commons-jxpath, que pode executar código arbitrário ao avaliar expressões XPath. Essa avaliação XPath deve ser usada somente por tipos de feições complexos (ou seja, armazenamentos de dados Application Schema), mas está sendo aplicada incorretamente também a tipos de feições simples, o que faz essa vulnerabilidade se aplicar a **TODAS** as instâncias do GeoServer. Nenhum PoC público é fornecido, mas esta vulnerabilidade foi confirmada como explorável por meio de solicitações WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic e WPS Execute. Essa vulnerabilidade pode levar à execução de código arbitrário. As versões 2.22.6, 2.23.6, 2.24.4 e 2.25.2 contêm uma correção para o problema. Existe uma solução alternativa que consiste em remover o arquivo `gt-complex-x.y.jar` do GeoServer, onde `x.y` é a versão do GeoTools (por exemplo, `gt-complex-31.1.jar` se estiver executando o GeoServer 2.25.1). Isso removerá o código vulnerável do GeoServer, mas pode quebrar algumas funcionalidades do GeoServer ou impedir a implantação do GeoServer se o módulo gt-complex for necessário.

• CVE-2024-36401Exploit

  CVE-2024-36401 (GeoServer - Execução Remota de Código)