CVE-2024-36401

Резюме

GeoServer — это сервер с открытым исходным кодом, который позволяет пользователям обмениваться геопространственными данными и редактировать их. До версий 2.22.6, 2.23.6, 2.24.4 и 2.25.2 несколько параметров OGC-запросов позволяют неаутентифицированным пользователям выполнять удалённый код (RCE) с помощью специально сформированных входных данных в стандартной установке GeoServer из-за небезопасного вычисления имён свойств как XPath-выражений. API библиотеки GeoTools, который вызывает GeoServer, вычисляет имена свойств/атрибутов для типов объектов таким образом, что небезопасно передаёт их в библиотеку commons-jxpath, которая может выполнять произвольный код при вычислении XPath-выражений. Это XPath-вычисление предназначено для использования только со сложными типами объектов (т.е. хранилищами данных Application Schema), но ошибочно применяется и к простым типам объектов, что делает эту уязвимость применимой ко **ВСЕМ** экземплярам GeoServer. Публичный PoC не предоставлен, но подтверждено, что уязвимость эксплуатируется через запросы WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic и WPS Execute. Эта уязвимость может привести к выполнению произвольного кода. Версии 2.22.6, 2.23.6, 2.24.4 и 2.25.2 содержат исправление проблемы. Существует обходной путь: удалите файл `gt-complex-x.y.jar` из GeoServer, где `x.y` — версия GeoTools (например, `gt-complex-31.1.jar` при использовании GeoServer 2.25.1). Это удалит уязвимый код из GeoServer, но может нарушить некоторые функции GeoServer или помешать развёртыванию GeoServer, если модуль gt-complex необходим.

Источники