CVE-2024-36401

GeoServer est un serveur open source qui permet aux utilisateurs de partager et de modifier des données géospatiales. Avant les versions 2.22.6, 2.23.6, 2.24.4 et 2.25.2, de multiples paramètres de requête OGC permettent l'exécution de code à distance (RCE) par des utilisateurs non authentifiés via une entrée spécialement conçue contre une installation GeoServer par défaut en raison de l'évaluation non sécurisée des noms de propriétés en tant qu'expressions XPath. L'API de la bibliothèque GeoTools appelée par GeoServer évalue les noms de propriétés/attributs pour les types d'entités d'une manière qui les transmet de façon non sécurisée à la bibliothèque commons-jxpath qui peut exécuter du code arbitraire lors de l'évaluation des expressions XPath. Cette évaluation XPath est destinée à être utilisée uniquement par les types d'entités complexes (c.-à-d. les magasins de données Application Schema) mais est incorrectement appliquée également aux types d'entités simples, ce qui fait que cette vulnérabilité s'applique à **TOUTES** les instances GeoServer. Aucun PoC public n'est fourni mais il a été confirmé que cette vulnérabilité est exploitable via les requêtes WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic et WPS Execute. Cette vulnérabilité peut conduire à l'exécution de code arbitraire. Les versions 2.22.6, 2.23.6, 2.24.4 et 2.25.2 contiennent un correctif pour ce problème. Une solution de contournement existe en supprimant le fichier `gt-complex-x.y.jar` du GeoServer où `x.y` est la version GeoTools (p. ex. `gt-complex-31.1.jar` si vous exécutez GeoServer 2.25.1). Cela supprimera le code vulnérable de GeoServer mais peut interrompre certaines fonctionnalités de GeoServer ou empêcher le déploiement de GeoServer si le module gt-complex est nécessaire.