CVE-2023-51444
Təsvir
GeoServer Java dilində yazılmış, istifadəçilərə geofəza məlumatlarını paylaşmağa və redaktə etməyə imkan verən açıq mənbəli proqram serveridir. 2.23.4 və 2.24.1 versiyalarından əvvəlki versiyalarda ixtiyari fayl yükləmə zəifliyi mövcuddur ki, bu da REST Coverage Store API vasitəsilə coverage store-ları dəyişdirmək icazəsinə malik autentifikasiyadan keçmiş administratora ixtiyari fayl məzmununu ixtiyari fayl yerlərinə yükləməyə imkan verir və bu, uzaqdan kodun icrasına səbəb ola bilər. Nisbi yollarla konfiqurasiya edilmiş coverage store-lar yol keçməsinin qarşısını almaq üçün validasiyaya malik GeoServer Resource implementasiyasından istifadə edir, lakin mütləq yollarla konfiqurasiya edilmiş coverage store-lar yol keçməsinin qarşısını almayan fərqli Resource implementasiyasından istifadə edir. Bu zəiflik ixtiyari kodun icrasına səbəb ola bilər. Məhdud imtiyazlara malik administrator da bundan GeoServer təhlükəsizlik fayllarının üzərinə yazmaq və tam administrator imtiyazları əldə etmək üçün istifadə edə bilər. 2.23.4 və 2.24.1 versiyaları bu məsələ üçün düzəliş ehtiva edir.
Necə düzəltmək olar
- geoserver geoserver2.23.4 və ya daha yeni versiya
- org.geoserver:gs-platform2.23.4, 2.24.1 və ya daha yeni versiya
- org.geoserver:gs-restconfig2.23.4, 2.24.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| geoserver geoserver | v < 2.23.4, 2.24.0 | 2.23.4 |
| org.geoserver:gs-platformMaven | v < 2.23.4, 2.24.0 ≤ v < 2.24.1 | 2.23.4, 2.24.1 |
| org.geoserver:gs-restconfigMaven | v < 2.23.4, 2.24.0 ≤ v < 2.24.1 | 2.23.4, 2.24.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.