![cover](https://img-blog.csdnimg.cn/direct/f6e071ad05af4945a51147ad763d1c53.jpeg)
Goby漏洞发布|GeoServer远程代码执行漏洞(CVE-2024-36401)【漏洞复现】
GeoSverver 远程代码执行漏洞 CVE-2024-36401:GeoSverver Tools 库的 API 在处理要素类型的属性名称时,会将这些属性名称不安全地传递给 commons-jxpath 库进行解析,由于 commons-jxpath 库在解析 XPath 表达式时可以执行任意代码,从而导致未经身份验证的用户能够利用特定的 OGC 请求参数远程执行代码。
漏洞名称:GeoServer /geoserver/wfs 远程代码执行漏洞(CVE-2024-36401)
English Name:GeoServer /geoserver/wfs Code Execution Vulnerability(CVE-2024-36401)
CVSS core: 9.8
漏洞描述:
GeoServer 是一个开源服务器,允许用户共享和编辑地理空间数据,依赖 GeoTools 库来处理地理空间数据。
受影响的版本中 GeoTools 库的 API 在处理要素类型的属性名称时,会将这些属性名称不安全地传递给 commons-jxpath 库进行解析,由于 commons-jxpath 库在解析 XPath 表达式时可以执行任意代码,从而导致未经身份验证的用户能够利用特定的 OGC 请求参数远程执行代码。
FOFA查询规则: app=“GeoServer”
受影响资产数量: 7962
受影响版本:
GeoServer 2.23.* < 2.23.6
GeoServer 2.24.* < 2.24.4
GeoServer 2.25.* < 2.25.2
解决方案:
目前官方已有可更新版本,建议受影响用户升级至最新版本:
同时,官方已发布先前版本的补丁可供下载,包括已修复的 gt-app-schema、gt-complex 和 gt-xsd-core jar 文件。
补丁可从以下 GeoServer 版本的发布页面下载:
2.25.1、2.24.3、2.24.2、2.23.2、2.21.5、2.20.7、2.20.4、2.19.2、2.18.0。
下载后使用补丁文件替换原文件即可。
您可以从此处获取官方补丁下载地址https://github.com/geoserver/geoserver/releases
漏洞检测工具:
【Goby】-资产绘测及实战化漏洞扫描工具,(支持回显命令执行,内存马),实战漏洞利用效果如图所示:
点击下载Goby:Goby-资产绘测及实战化漏洞扫描工具
查看Goby更多漏洞:Goby历史漏洞合集
关注Goby公众号获取最新动态:GobySec
更多推荐
所有评论(0)