CVE-2024-36404
Açıklama
GeoTools, coğrafi veri için araçlar sağlayan açık kaynaklı bir Java kütüphanesidir. 31.2, 30.4 ve 29.6 versiyonlarından önce, bir uygulama kullanıcı girişi tarafından sağlanan XPath ifadelerini değerlendirmek için belirli GeoTools işlevlerini kullanıyorsa Uzaktan Kod Çalıştırma (RCE) mümkündür. 31.2, 30.4 ve 29.6 versiyonları bu sorun için bir düzeltme içermektedir. Geçici bir çözüm olarak GeoTools, uygulamadan `gt-complex` jar dosyası kaldırılarak azaltılmış işlevsellik ile çalıştırılabilir. Etkiye bir örnek olarak, uygulama şeması `datastore`, karmaşık içeriği sorgulamak için XPath ifadelerini kullanma yeteneği olmadan çalışmayacaktır. Alternatif olarak; 31.1, 30.3, 30.2, 29.2, 28.2, 27.5, 27.4, 26.7, 26.4, 25.2 ve 24.0 versiyonları için SourceForge üzerinden doğrudan değiştirilebilir bir GeoTools jar dosyası kullanılabilir. Bu jar dosyaları yalnızca indirme amaçlıdır, maven central üzerinde mevcut değildir ve etkilenen uygulamalara hızlıca düzeltme sağlamayı amaçlamaktadır.
Nasıl düzeltilir
- org.geotools:gt-app-schema30.4, 31.2, 29.6, 28.6 ya da sonraki bir sürüm
- org.geotools:gt-complex30.4, 31.2, 29.6, 28.6 ya da sonraki bir sürüm
- org.geotools.xsd:gt-xsd-core30.4, 31.2, 29.6, 28.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.geotools:gt-app-schemaMaven | 30.0 ≤ v < 30.4, 31.0 ≤ v < 31.2, 29.0 ≤ v < 29.6, v < 28.6 | 30.4, 31.2, 29.6, 28.6 |
| org.geotools:gt-complexMaven | 30.0 ≤ v < 30.4, 31.0 ≤ v < 31.2, 29.0 ≤ v < 29.6, v < 28.6 | 30.4, 31.2, 29.6, 28.6 |
| org.geotools.xsd:gt-xsd-coreMaven | 30.0 ≤ v < 30.4, 31.0 ≤ v < 31.2, 29.0 ≤ v < 29.6, v < 28.6 | 30.4, 31.2, 29.6, 28.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.