CVE-2023-35042
Kritik
Açıklama
GeoServer 2, bazı yapılandırmalarda, Haziran 2023'te gerçek ortamda istismar edildiği üzere, bir wps:Execute isteği içindeki wps:LiteralData aracılığıyla java.lang.Runtime.getRuntime().exec üzerinden uzaktan saldırganların keyfi kod çalıştırmasına izin verir. NOT: Satıcı, bunu herhangi bir sürümde yeniden oluşturamadıklarını belirtmektedir.
ÖnemKritik
CVSS9.8
İstismar olasılığı—
ÜrünGeoserver
Yayın12 Haz 2023
İlk görülme12 Haz 2023
Nasıl düzeltilir
Güncelleyin
- org.geoserver:gs-wms2.18.6, 2.19.6, 2.20.4 ya da sonraki bir sürüm
- org.geoserver:gs-wfs2.18.6, 2.19.6, 2.20.4 ya da sonraki bir sürüm
- org.geoserver:gs-wps2.18.6, 2.19.6, 2.20.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| geoserver geoserver | 2.0.0 ≤ v | — |
| org.geoserver:gs-wmsMaven | v < 2.18.6, 2.19.0 ≤ v < 2.19.6, 2.20.0 ≤ v < 2.20.4 | 2.18.6, 2.19.6, 2.20.4 |
| org.geoserver:gs-wfsMaven | v < 2.18.6, 2.19.0 ≤ v < 2.19.6, 2.20.0 ≤ v < 2.20.4 | 2.18.6, 2.19.6, 2.20.4 |
| org.geoserver:gs-wpsMaven | v < 2.18.6, 2.19.0 ≤ v < 2.19.6, 2.20.0 ≤ v < 2.20.4 | 2.18.6, 2.19.6, 2.20.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.