CVE-2024-34696

GeoServer istifadəçilərə geospatial məlumatları paylaşmağa və redaktə etməyə imkan verən açıq mənbəli serverdir. Versiya 2.10.0-dan başlayaraq və 2.24.4 və 2.25.1 versiyalarından əvvəlki versiyalarda, GeoServer-in Server Status səhifəsi və REST API-ı həmin modulların status mesajının bir hissəsi kimi inzibati hüquqlara malik hər bir GeoServer istifadəçisinə bütün mühit dəyişənlərini (environment variables) və Java xüsusiyyətlərini (Java properties) təqdim edir. Bu dəyişənlər/xüsusiyyətlər verilənlər bazasının şifrələri və ya API açarları/tokenləri kimi həssas məlumatlar ehtiva edə bilər. Əlavə olaraq, icma tərəfindən hazırlanmış bir çox GeoServer konteyner imicləri digər etibarlılıq məlumatlarını (credentials) başlatma skriptlərindən mühit dəyişənləri kimi GeoServer (`java`) prosesinə `export` edir. Problemin dəqiq miqyası hansı konteyner imicinin istifadə edilməsindən və onun necə konfiqurasiya olunduğundan asılıdır. Server Status səhifəsini təmin edən `about status` API son nöqtəsi yalnız administratorlar üçün əlçatandır. Əməliyyat mühitindən asılı olaraq, administratorların etibarlılıq məlumatlarına digər yollarla qanuni çıxışı ola bilər, lakin bu problem daha mürəkkəb nəzarət mexanizmlərini (məsələn, sirlərə "break-glass" girişi və ya rol hesabları) sıradan çıxarır. Defolt olaraq, GeoServer yalnız eyni mənşəli (same-origin) autentifikasiya olunmuş API girişinə icazə verir. Bu, üçüncü tərəf hücumçunun etibarlılıq məlumatlarına daxil olmaq üçün administratorun etibarlılıq məlumatlarından istifadə etmə imkanını məhdudlaşdırır. Zəifliyi aşkar edən tədqiqatçılar GeoServer REST API-ın daha geniş şəkildə əlçatan ola biləcəyi digər şərtləri müəyyən edə bilməmişlər. İstifadəçilər xətanın düzəldilmiş versiyasını əldə etmək üçün konteyner imiclərini GeoServer 2.24.4 və ya 2.25.1 versiyasına yeniləməlidirlər. Alternativ həll yolu kimi, mühit dəyişənləri və Java sistem xüsusiyyətləri defolt olaraq gizli saxlanılmalıdır. Bunu yenidən aktivləşdirmək seçimi təqdim edənlər, istifadəçilərin məlumatlı seçim edə bilməsi üçün bunun təsirini və risklərini bildirməlidirlər.