CVE-2024-36401

GeoServer è un server open source che consente agli utenti di condividere e modificare dati geospaziali. Prima delle versioni 2.22.6, 2.23.6, 2.24.4 e 2.25.2, diversi parametri di richiesta OGC consentono l'esecuzione di codice remoto (RCE) da parte di utenti non autenticati tramite input appositamente predisposti contro un'installazione predefinita di GeoServer a causa della valutazione non sicura dei nomi delle proprietà come espressioni XPath. L'API della libreria GeoTools che GeoServer chiama valuta i nomi di proprietà/attributi per i tipi di feature in un modo che li passa in modo non sicuro alla libreria commons-jxpath, la quale può eseguire codice arbitrario durante la valutazione di espressioni XPath. Questa valutazione XPath è destinata a essere utilizzata solo da tipi di feature complessi (ovvero, datastore Application Schema) ma viene erroneamente applicata anche a tipi di feature semplici, il che rende questa vulnerabilità applicabile a **TUTTE** le istanze di GeoServer. Non viene fornito alcun PoC pubblico, ma è stato confermato che questa vulnerabilità è sfruttabile tramite richieste WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic e WPS Execute. Questa vulnerabilità può portare all'esecuzione di codice arbitrario. Le versioni 2.22.6, 2.23.6, 2.24.4 e 2.25.2 contengono una patch per il problema. Esiste una soluzione alternativa che consiste nel rimuovere il file `gt-complex-x.y.jar` da GeoServer, dove `x.y` è la versione di GeoTools (ad esempio, `gt-complex-31.1.jar` se si esegue GeoServer 2.25.1). Ciò rimuoverà il codice vulnerabile da GeoServer ma potrebbe compromettere alcune funzionalità di GeoServer o impedire la distribuzione di GeoServer se il modulo gt-complex è necessario.