CVE-2022-24818
高已发布
未检查的 GeoTools 中的 JNDI 查找
- 已发布
- 2022年4月13日
- 已更新
- 2025年4月23日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月8日
初级CVSS
8.2/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H2.4%
低 · 未来 30 天
- 百分位
- 83.2%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
GeoTools 是一个开源 Java 库，提供用于处理地理空间数据的工具。GeoTools 库中有多个数据源可以执行未受检查的 JNDI 查找，而这些查找又可用于执行类反序列化，从而导致任意代码执行。与 Log4J 的情况类似，如果 JNDI 名称由用户提供，则可触发该漏洞，但需要管理员级别的登录才能触发。在 GeoTools 26.4、GeoTools 25.6 和 GeoTools 24.6 中，这些查找现已受到限制。无法升级的用户应确保任何下游应用程序不允许使用远程提供的 JNDI 字符串。
来源
1CVE-2022-24818：GeoServer 和 GeoTools 中通过未检查的 JNDI 查找导致的 Java 反序列化
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。