【已复现】GeoServer远程代码执行漏洞(CVE-2024-36401)安全风险通告

奇安信 CERT · 公众号 · · 2024-07-03 13:01

正文

请到「今天看啥」查看全文

已公开

漏洞成因： GeoServer调用的GeoTools库API，在解析特性类型的属性/属性名称时，以不安全的方式将它们传递给commons-jxpath库，当解析XPath表达式时可以执行任意代码。

危害描述： 未经身份认证的远程攻击者可以通过该漏洞在服务器上执行任意代码，从而获取服务器权限。

0 1

漏洞详情

> > > >

影响组件

GeoServer 是一个开源的服务器软件，使用 Java 编写，主要功能是允许用户共享和编辑地理空间数据。它在设计时就考虑到了互操作性，支持使用开放标准来发布多种主流格式的空间数据。

> > > >

漏洞描述

近日，奇安信CERT监测到官方修复 GeoServer远程代码执行漏洞(CVE-2024-36401) ，由于该系统不安全地将属性名称解析为 XPath 表达式，未经身份认证的远程攻击者可以通过该漏洞在服务器上执行任意代码，从而获取服务器权限。 目前该漏洞技术细节与EXP已在互联网上公开， 鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。