CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2024-36401

GeoServer RCE przez niezabezpieczoną ewaluację XPath w parametrach OGC

CVSS 9.8v3.1pub. 2024-07-01upd. 2025-10-24

Podatność w GeoServer umożliwia nieuwierzytelnionym atakującym zdalne wykonanie dowolnego kodu (RCE) poprzez spreparowane parametry żądań OGC. Podatność jest krytyczna, dotyczy wszystkich domyślnych instalacji GeoServer i jest aktywnie wykorzystywana w środowiskach produkcyjnych.

▸ Pokaż oryginał (EN)

GeoServer is an open source server that allows users to share and edit geospatial data. Prior to versions 2.22.6, 2.23.6, 2.24.4, and 2.25.2, multiple OGC request parameters allow Remote Code Execution (RCE) by unauthenticated users through specially crafted input against a default GeoServer installation due to unsafely evaluating property names as XPath expressions. The GeoTools library API that GeoServer calls evaluates property/attribute names for feature types in a way that unsafely passes them to the commons-jxpath library which can execute arbitrary code when evaluating XPath expressions. This XPath evaluation is intended to be used only by complex feature types (i.e., Application Schema data stores) but is incorrectly being applied to simple feature types as well which makes this vulnerability apply to **ALL** GeoServer instances. No public PoC is provided but this vulnerability has been confirmed to be exploitable through WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic and WPS Execute requests. This vulnerability can lead to executing arbitrary code. Versions 2.22.6, 2.23.6, 2.24.4, and 2.25.2 contain a patch for the issue. A workaround exists by removing the `gt-complex-x.y.jar` file from the GeoServer where `x.y` is the GeoTools version (e.g., `gt-complex-31.1.jar` if running GeoServer 2.25.1). This will remove the vulnerable code from GeoServer but may break some GeoServer functionality or prevent GeoServer from deploying if the gt-complex module is needed.

🤖 Analiza AI

Jak działa

Biblioteka GeoTools, z której korzysta GeoServer, przetwarza nazwy właściwości/atrybutów typów obiektów (feature types) w sposób, który niebezpiecznie przekazuje je do biblioteki commons-jxpath. Biblioteka ta może wykonywać dowolny kod podczas ewaluacji wyrażeń XPath. Mechanizm ten był przeznaczony wyłącznie dla złożonych typów obiektów (Application Schema data stores), jednak błędnie stosowany jest również do prostych typów obiektów, co sprawia, że podatność obejmuje WSZYSTKIE instancje GeoServer. Exploit jest możliwy przez żądania: WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic oraz WPS Execute.

Skutki

Nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze, co w praktyce oznacza pełne przejęcie kontroli nad systemem, wyciek danych, modyfikację danych geoprzestrzennych lub dalszy ruch lateralny w sieci.

Mitygacja

Należy niezwłocznie zaktualizować GeoServer do wersji 2.22.6, 2.23.6, 2.24.4 lub 2.25.2 (w zależności od używanej gałęzi). Jeśli aktualizacja nie jest możliwa natychmiast, dostępne jest obejście polegające na usunięciu pliku `gt-complex-x.y.jar` z instalacji GeoServer (np. `gt-complex-31.1.jar` dla GeoServer 2.25.1) — uwaga: może to ograniczyć funkcjonalność lub uniemożliwić uruchomienie GeoServer, jeśli moduł gt-complex jest wymagany.

Kogo dotyczy

Wszystkie domyślne instalacje GeoServer w wersjach wcześniejszych niż 2.22.6, 2.23.6, 2.24.4 oraz 2.25.2, a także powiązana biblioteka GeoTools (wszystkie wersje przed wydaniem patcha).

Uwagi

Podatność jest wpisana na listę CISA KEV jako aktywnie exploitowana. Według opisu, mimo braku publicznego PoC w momencie publikacji, exploitowalność przez co najmniej sześć różnych typów żądań OGC została potwierdzona. Powiązane CWE: CWE-95 (niewłaściwa neutralizacja dyrektywy w dynamicznie ewaluowanym kodzie) oraz CWE-94 (wstrzyknięcie kodu).

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Geoserver
APP
Geoserver
2.23.0 – 2.23.6 (bez)2.24.0 – 2.24.4 (bez)2.25.0 – 2.25.2 (bez)< 2.22.6
Geotools
APP
Geotools
30.031.031.1 – 31.2 (bez)30.1 – 30.4 (bez)< 29.6

CISA KEV — szczegółyi

Dostawcai: OSGeo
Produkti: GeoServer
Data dodania do KEVi: 15 lipca 2024
Termin remediation (USA)i: 5 sierpnia 2024(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta lub zaprzestań użytkowania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Opis CISAi

OSGeo GeoServer GeoTools zawiera lukę w improper neutralization of directives in dynamically evaluated code wynikającą z niebezpiecznej ewaluacji nazw właściwości jako wyrażeń XPath. Pozwala to na przeprowadzenie remote code execution przez uwierzytelnieni atakujący za pomocą specjalnie przygotowanego wejścia.

tłumaczenie AI

▸ Pokaż oryginał (EN)

OSGeo GeoServer GeoTools contains an improper neutralization of directives in dynamically evaluated code vulnerability due to unsafely evaluating property names as XPath expressions. This allows unauthenticated attackers to conduct remote code execution via specially crafted input.

🔴