|
漏洞概述
|
|
漏洞名称
|
GeoServer SQL注入漏洞
|
|
漏洞编号
|
QVD-2023-4979、CVE-2023-25157
|
|
公开时间
|
2023-02-21
|
影响对象数量级
|
万级
|
|
奇安信评级
|
高危
|
CVSS 3.1分数
|
8.1
|
|
威胁类型
|
代码执行
|
利用可能性
|
高
|
|
POC状态
|
已发现
|
在野利用状态
|
未发现
|
|
EXP状态
|
未发现
|
技术细节状态
|
未公开
|
|
危害描述：未经身份验证的攻击者可以利用该漏洞进行SQL注入，执行恶意代码。
|
（注：奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节，订阅方式见文末。）
GeoServer是一个用Java编写的开源服务器，它允许用户共享、处理和编辑地理空间数据。为了互操作性而设计，它使用开源标准发布来自任何主要空间数据源的数据。
近日，奇安信CERT监测到 GeoServer SQL注入漏洞(CVE-2023-25157)，由于系统未对用户输入进行过滤，远程未授权攻击者可以构造特定语句绕过GeoServer的词法解析，从而实现SQL注入，成功利用此漏洞可获取敏感信息，甚至可能获取数据库服务器权限。由于GeoServer在默认配置下内置图层存放数据在文件中，则未创建自定义图层并使用外置数据库的场景不受此漏洞影响。鉴于该漏洞的POC已在互联网上公开，现实威胁上升，建议客户尽快做好自查及防护。
GeoServer 2.20.x < 2.20.7
GeoServer 2.19.x < 2.19.7
GeoServer 2.18.x < 2.18.7
GeoServer 2.21.x < 2.21.4
GeoServer 2.22.x < 2.22.2
GeoServer 2.22.x >= 2.22.2
GeoServer 2.21.x >= 2.21.4
GeoServer 2.20.x >= 2.20.7
GeoServer 2.19.x >= 2.19.7
GeoServer 2.18.x >= 2.18.7
目前官方已发布新版本修复了该漏洞，可下载最新版本进行升级。
https://github.com/geoserver/geoserver/releases
1. 禁用 PostGIS数据存储的encode函数。
2. 启用 PostGIS 数据存储的preparedStatements设置。
原文始发于微信公众号（奇安信 CERT）：【已复现】GeoServer SQL注入漏洞(CVE-2023-25157)安全风险通告
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
点赞
https://cn-sec.com/archives/1792846.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论