CVE-2024-34711
Açıklama
GeoServer, kullanıcıların coğrafi veri paylaşmasına ve düzenlemesine olanak tanıyan açık kaynaklı bir sunucudur. Yetkisiz bir saldırganın XML External Entities (XXE) saldırısı gerçekleştirmesine ve ardından herhangi bir HTTP sunucusuna GET isteği göndermesine imkan veren hatalı bir URI doğrulama zafiyeti bulunmaktadır. Varsayılan olarak GeoServer, XML varlıklarındaki kötü amaçlı URI'leri çözümlemeden önce filtrelemek için GeoTools'un PreventLocalEntityResolver sınıfını kullanır. URI, (?i)(jar:file|http|vfs)[^?#;]*\\.xsd düzenli ifadesiyle eşleşmelidir. Ancak bu düzenli ifade, saldırganlara herhangi bir HTTP sunucusundan veya sınırlı dosyadan istek yapma şansı tanımaktadır. Saldırgan bunu iç ağları taramak, onlar hakkında bilgi edinmek ve ardından daha fazla istismar etmek için kötüye kullanabilir. GeoServer 2.25.0 ve üzeri sürümler varsayılan olarak ENTITY_RESOLUTION_ALLOWLIST kullanımına geçmiştir ve bir sistem özelliği sağlamanızı gerektirmez.
Nasıl düzeltilir
- osgeo geoserver2.25.0 ya da sonraki bir sürüm
- org.geoserver.web:gs-web-app2.25.0 ya da sonraki bir sürüm
- org.geoserver.main:gs-main2.25.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| osgeo geoserver | v < 2.25.0 | 2.25.0 |
| org.geoserver.web:gs-web-appMaven | v < 2.25.0 | 2.25.0 |
| org.geoserver.main:gs-mainMaven | v < 2.25.0 | 2.25.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.