CVE-2024-36401

GeoServer ist ein Open-Source-Server, der es Benutzern ermöglicht, Geodaten gemeinsam zu nutzen und zu bearbeiten. Vor den Versionen 2.22.6, 2.23.6, 2.24.4 und 2.25.2 ermöglichen mehrere OGC-Request-Parameter Remote Code Execution (RCE) durch nicht authentifizierte Benutzer mittels speziell erstellter Eingaben gegen eine Standardinstallation von GeoServer, da Eigenschaftsnamen unsicher als XPath-Ausdrücke ausgewertet werden. Die GeoTools-Bibliotheks-API, die GeoServer aufruft, wertet Property-/Attributnamen für Feature-Typen so aus, dass sie unsicher an die commons-jxpath-Bibliothek übergeben werden, die bei der Auswertung von XPath-Ausdrücken beliebigen Code ausführen kann. Diese XPath-Auswertung ist nur für komplexe Feature-Typen (d. h. Application Schema Data Stores) vorgesehen, wird aber fälschlicherweise auch auf einfache Feature-Typen angewendet, wodurch diese Schwachstelle für **ALLE** GeoServer-Instanzen gilt. Es wird kein öffentlicher PoC bereitgestellt, aber es wurde bestätigt, dass diese Schwachstelle über WFS GetFeature-, WFS GetPropertyValue-, WMS GetMap-, WMS GetFeatureInfo-, WMS GetLegendGraphic- und WPS Execute-Requests ausnutzbar ist. Diese Schwachstelle kann zur Ausführung beliebigen Codes führen. Die Versionen 2.22.6, 2.23.6, 2.24.4 und 2.25.2 enthalten einen Patch für das Problem. Ein Workaround besteht darin, die Datei `gt-complex-x.y.jar` aus dem GeoServer zu entfernen, wobei `x.y` die GeoTools-Version ist (z. B. `gt-complex-31.1.jar` bei Ausführung von GeoServer 2.25.1). Dadurch wird der verwundbare Code aus GeoServer entfernt, es können jedoch einige GeoServer-Funktionen beeinträchtigt werden oder die Bereitstellung von GeoServer verhindert werden, wenn das gt-complex-Modul benötigt wird.