CVE-2024-36404
Təsvir
GeoTools geospatial məlumatlar üçün alətlər təmin edən açıq mənbəli Java kitabxanasıdır. Versiyalar 31.2, 30.4 və 29.6-dan əvvəlki versiyalarda, əgər tətbiq istifadəçi tərəfindən təqdim edilən XPath ifadələrini qiymətləndirmək üçün müəyyən GeoTools funksionallığından istifadə edirsə, uzaqdan kodun icrası (RCE) mümkündür. Versiyalar 31.2, 30.4 və 29.6 bu problem üçün düzəliş ehtiva edir. Müvəqqəti həll yolu kimi, GeoTools tətbiqdən `gt-complex` jar faylının silinməsi ilə məhdud funksionallıqla işləyə bilər. Təsir nümunəsi olaraq, tətbiqin `datastore` sxemi mürəkkəb məzmunu sorğulamaq üçün XPath ifadələrindən istifadə etmədən işləməyəcəkdir. Alternativ olaraq, versiyalar 31.1, 30.3, 30.2, 29.2, 28.2, 27.5, 27.4, 26.7, 26.4, 25.2 və 24.0 üçün SourceForge-dan əvəzedici GeoTools jar faylından istifadə etmək olar. Bu jar faylları yalnız yükləmə üçün nəzərdə tutulub, maven central-da mövcud deyil və təsirlənmiş tətbiqlərə sürətli şəkildə düzəliş təmin etmək üçün nəzərdə tutulmuşdur.
Necə düzəltmək olar
- org.geotools:gt-app-schema30.4, 31.2, 29.6, 28.6 və ya daha yeni versiya
- org.geotools:gt-complex30.4, 31.2, 29.6, 28.6 və ya daha yeni versiya
- org.geotools.xsd:gt-xsd-core30.4, 31.2, 29.6, 28.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.geotools:gt-app-schemaMaven | 30.0 ≤ v < 30.4, 31.0 ≤ v < 31.2, 29.0 ≤ v < 29.6, v < 28.6 | 30.4, 31.2, 29.6, 28.6 |
| org.geotools:gt-complexMaven | 30.0 ≤ v < 30.4, 31.0 ≤ v < 31.2, 29.0 ≤ v < 29.6, v < 28.6 | 30.4, 31.2, 29.6, 28.6 |
| org.geotools.xsd:gt-xsd-coreMaven | 30.0 ≤ v < 30.4, 31.0 ≤ v < 31.2, 29.0 ≤ v < 29.6, v < 28.6 | 30.4, 31.2, 29.6, 28.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.