Summary
De ontwikkelaars van GeoServer hebben een kwetsbaarheid verholpen.
Voor deze kwetsbaarheid is Proof-of-Concept-code (PoC) op internet verschenen.
Details
Interpretaties
De kwetsbaarheid bevindt zich in de wijze waarop XPath expressies door de API worden verwerkt en stelt een kwaadwillende in staat om met speciaal geprepareerde XPath expressies een command-injection uit te voeren en zo code uit te voeren met rechten van de applicatie.
Proof-of-Concept-Code is beschikbaar om de kwetsbaarheid aan te tonen. Systemen waarbij de API publiek toegankelijki is lopen hiermee verhoogd risico. De API in kwestie is normaal gesproken niet standaard bereikbaar vanaf publieke netwerken.
Oplossingen
De ontwikkelaars van GeoServer hebben updates uitgebracht om de kwetsbaarheid te verhelpen in GeoServer 2.24.4, 2.25.2 en 2.23.6.
Ook zijn mitigerende maatregelen gepubliceerd om de kwetsbaarheid te beperken indien uitrol van de updates (nog) niet mogelijk is. Indien het bestand gt-complex-x.y.jar (x.y. zijnde de versienummering, afhankelijk van de versie van de GeoServer-software) van de server wordt verwijderd is misbruik niet mogelijk. Dit kan echter gevolgen hebben voor de werking van de installatie. Maak hiervoor een separate risico-inschatting per systeem.
Zie bijgevoegde referenties voor meer informatie.
Vulnerabilities 1
-
Critical 9.8
Remote Code Execution (RCE) vulnerability in evaluating property name expressions in Geoserver
GeoServer is an open source server that allows users to share and edit geospatial data. Prior to versions 2.22.6, 2.23.6, 2.24.4, and 2.25.2, multiple OGC request parameters allow Remote Code Execution (RCE) by unauthenticated users through specially crafted …
KEV Jul 15, 2024
Revision history
-
#1
Er is een Proof-of-Concept-code (PoC) gepubliceerd waarmee de kwetsbaarheid kan worden aangetoond.
-
#0
Initiele versie
References
-
Source - github
https://github.com/advisories/GHSA-6jj6-gm7p-fcvv