CVE-2022-24847
Təsvir
GeoServer, istifadəçilərə geospatial məlumatları paylaşmağa və redaktə etməyə imkan verən Java dilində yazılmış açıq mənbəli proqram təminatı serveridir. GeoServer təhlükəsizlik mexanizmi yoxlanılmayan JNDI lookup yerinə yetirə bilər ki, bu da öz növbəsində klas deserializasiyasının həyata keçirilməsi üçün istifadə oluna və ixtiyari kodun icrasına səbəb ola bilər. Eyni hal JNDI-də yerləşən məlumat mənbələri ilə data store-ların konfiqurasiyası zamanı və ya disk kvotası mexanizminin qurulması zamanı baş verə bilər. Yuxarıdakı dəyişikliklərdən hər hansı birini yerinə yetirmək üçün hücum edən şəxs admin hüquqlarını əldə etməli və ya GeoServer GUI-dən, yaxud onun REST API-dən istifadə etməlidir. Lookup-lar GeoServer 2.21.0, 2.20.4, 1.19.6 versiyalarında məhdudlaşdırılacaqdır. Yeniləmə imkanı olmayan istifadəçilər firewall vasitəsilə `geoserver/web` və `geoserver/rest` girişlərini məhdudlaşdırmalı və GeoWebCache-in uzaqdan əlçatan olmadığını təmin etməlidirlər.
Necə düzəltmək olar
- osgeo geoserver2.19.6, 2.20.4 və ya daha yeni versiya
- org.geoserver:gs-main2.20.4, 2.19.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| osgeo geoserver | v < 2.19.6, 2.20.0 ≤ v < 2.20.4 | 2.19.6, 2.20.4 |
| org.geoserver:gs-mainMaven | 2.20.0 ≤ v < 2.20.4, v < 2.19.6 | 2.20.4, 2.19.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.