CVE-2024-36401

GeoServer es un servidor de código abierto que permite a los usuarios compartir y editar datos geoespaciales. Antes de las versiones 2.22.6, 2.23.6, 2.24.4 y 2.25.2, múltiples parámetros de solicitud OGC permiten la ejecución remota de código (RCE) por parte de usuarios no autenticados mediante entradas especialmente manipuladas contra una instalación predeterminada de GeoServer debido a la evaluación insegura de nombres de propiedades como expresiones XPath. La API de la biblioteca GeoTools a la que llama GeoServer evalúa los nombres de propiedad/atributo para los tipos de entidades de una manera que los pasa de forma insegura a la biblioteca commons-jxpath, que puede ejecutar código arbitrario al evaluar expresiones XPath. Esta evaluación XPath está destinada a ser utilizada únicamente por tipos de entidades complejas (es decir, almacenes de datos Application Schema), pero se está aplicando incorrectamente también a tipos de entidades simples, lo que hace que esta vulnerabilidad afecte a **TODAS** las instancias de GeoServer. No se proporciona ninguna PoC pública, pero se ha confirmado que esta vulnerabilidad es explotable a través de solicitudes WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic y WPS Execute. Esta vulnerabilidad puede conducir a la ejecución de código arbitrario. Las versiones 2.22.6, 2.23.6, 2.24.4 y 2.25.2 contienen un parche para el problema. Existe una solución alternativa eliminando el archivo `gt-complex-x.y.jar` de GeoServer donde `x.y` es la versión de GeoTools (por ejemplo, `gt-complex-31.1.jar` si se ejecuta GeoServer 2.25.1). Esto eliminará el código vulnerable de GeoServer, pero puede interrumpir algunas funcionalidades de GeoServer o impedir que GeoServer se despliegue si se necesita el módulo gt-complex.