GeoServer & GeoTools SQL Injection (CVE-2023-25157 & CVE-2023-25158) — Лаборатория уязвимостей и отчет PoC

Среда для практики (Vulnerable Lab) и подробный отчет об эксплуатации уязвимости SQL Injection (Error-based) в GeoServer (CVE-2023-25157) и библиотеке GeoTools (CVE-2023-25158).

Подробный отчет об анализе и эксплуатации

Полный анализ с изображениями PoC для каждого уровня смотрите в официальном отчете:

👉 Посмотреть подробный отчет об эксплуатации (REPORT.md)

(Отчет включает: принцип возникновения ошибки на уровне парсера CQL и SQL-транслятора, объяснение формата фильтра OGC XML, подробный анализ 4 векторов атак, payload, реальные SQL-запросы в базе данных и рекомендации по устранению).

Информация об уязвимости (Краткая сводка)

Проанализированные векторы атак

В данной лаборатории были проверены и подробно проанализированы 4 реальных вектора атаки в [REPORT.md](. /REPORT.md):

1. Вектор 1 (strStartsWith): Эксплуатация через функцию проверки префикса строки в CQL_FILTER (HTTP GET).
2. Вектор 2 (strEndsWith): Эксплуатация через функцию проверки суффикса строки в CQL_FILTER (HTTP GET).
3. Вектор 3 (PropertyIsLike): Эксплуатация через манипуляцию escape-символом в стандартном XML-фильтре OGC (HTTP POST) — Самый опасный вектор, работающий во всех конфигурациях по умолчанию.
4. Вектор 4 (FeatureId): Эксплуатация через параметр фильтра по первичному ключу строкового типа при preparedStatements = false.

Инструкция по запуску лаборатории (Docker)

Требования

• Docker и Docker Compose установлены в системе.

1. Запуск среды

В корневой директории проекта откройте терминал и выполните команду:

docker compose up -d

Система запустит 2 контейнера:

• PostGIS / PostgreSQL database (содержит базу данных vulhub с таблицами example и example_str).
• GeoServer 2.22.1 (с предварительно настроенным подключением DataStore и опубликованными целевыми Feature Type).

2. Проверка состояния

Проверьте логи GeoServer, чтобы убедиться, что сервис полностью запущен:

docker compose logs -f geoserver

Когда появится сообщение CONFIGURATION COMPLETE, можно обращаться к GeoServer по:

• URL веб-интерфейса: http://localhost:8080/geoserver/web/
• Учетные данные администратора по умолчанию: admin / geoserver

3. Очистка среды после тестирования

Чтобы остановить контейнеры и освободить ресурсы:

# Остановить лабораторию (сохранить данные базы)
docker compose down

# Остановить лабораторию и удалить все данные volume
docker compose down -v

Структура репозитория

├── REPORT.md               # Технический отчет об анализе и подробный PoC
├── docker-compose.yml      # Конфигурация для запуска лабораторной среды GeoServer + PostgreSQL
├── init.sql                # Скрипт инициализации базы данных и демонстрационных данных
├── startup.sh              # Скрипт автоматической настройки GeoServer при запуске контейнера
└── img/                    # Директория с изображениями, подтверждающими PoC