CVE-2024-36404
GeoTools 在评估 XPath 表达式时的远程代码执行（RCE）漏洞
- 已发布
- 2024年7月2日
- 已更新
- 2024年8月2日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月5日
初级CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H高 · 未来 30 天
- 百分位
- 99.5%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
GeoTools 是一个开源 Java 库，提供用于地理空间数据的工具。在 31.2、30.4 和 29.6 版本之前，如果应用程序使用某些 GeoTools 功能来评估用户输入提供的 XPath 表达式，则可能发生远程代码执行（RCE）。31.2、30.4 和 29.6 版本包含对此问题的修复。作为一种变通方法，GeoTools 可以通过从应用程序中移除 `gt-complex` jar 来以功能缩减的方式运行。作为影响的一个示例，应用程序模式 `datastore` 将无法在没有使用 XPath 表达式查询复杂内容的能力的情况下运行。或者，对于 31.1、30.3、30.2、29.2、28.2、27.5、27.4、26.7、26.4、25.2 和 24.0 版本，可以使用来自 SourceForge 的即用型替代 GeoTools jar。这些 jar 仅供下载，不可从 maven central 获取，旨在快速为受影响的应用程序提供修复。
来源
2- GeoServerExploit漏洞利用
GeoServer（CVE-2024-36401/CVE-2024-36404）漏洞利用工具
CVE-2024-36401 的可重现研究：通过 JXPath 评估注入在 GeoServer 中实现未认证远程代码执行。包含技术报告、可工作的利用/验证程序以及 Docker 环境，用于在易受攻击和已修补实例上演示该漏洞。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。