Gs-main
Уязвимости
9
Эксплуатируемые
0
Макс. CVSS
9.1
Макс. EPSS
0.49165
Распределение по критичности
Критический
1
Высокий
5
Средний
3
Низкий
0
Затронутые диапазоны версий
2.0.0–2.24.42.26.0–2.26.22.26.0–2.26.32.27.0–2.27.1< 2.23.3< 2.25.0< 2.26.0≤ 2.23.4
Топ уязвимостей
CVE-2025-30220GeoServer - это открытый сервер, позволяющий пользователям обмениваться и редактировать геопространственные данные. Класс GeoTools Schema использует библиотеку Eclipse XSD для представления структуры схемы данных, уязвимой для эксплуатации XML External Entity (XXE). Это влияет на тех, кто предоставляет обработку XML с участием gt-xsd-core в процессе парсинга, когда документы содержат ссылку на внешнюю схему XML. Класс Schemas gt-xsd-core не использует EntityResolver, предоставленный ParserHandler (если он был настроен). Это также влияет на пользователей gt-wfs-ng DataStore, где параметр подключения ENTITY_RESOLVER не использовался по назначению. Эта уязвимость исправлена в GeoTools 33.1, 32.3, 31.7 и 28.6.1, GeoServer 2.27.1, 2.26.3 и 2.25.7, а также GeoNetwork 4.4.8 и 4.2.13 [1].
Уязвимость позволяет неаутентифицированным злоумышленникам читать произвольные файлы из файловой системы сервера, доступные процессу GeoServer, что может привести к раскрытию конфиденциальной информации, включая файлы конфигурации, учетные данные и системные файлы. Также возможен SSRF [2].
Источники:
- [1] https://github.com/geoserver/geoserver/security/advisories/GHSA-jj54-8f66-c5pc
- [2] https://github.com/geotools/geotools/security/advisories/GHSA-826p-4gcg-35vw
- [3] https://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-2p76-gc46-5fvc
- [4] https://github.com/geonetwork/core-geonetwork/pull/8757
- [5] https://github.com/geonetwork/core-geonetwork/pull/8803
CVE-2024-34711GeoServer — это открытый сервер, который позволяет пользователям обмениваться и редактировать геопространственные данные. Существует уязвимость, связанная с неправильной проверкой URI, которая позволяет неавторизованному злоумышленнику выполнить атаку XML External Entities (XEE), а затем отправить GET-запрос к любому HTTP-серверу. По умолчанию GeoServer использует класс PreventLocalEntityResolver из GeoTools для фильтрации вредоносных URI в XML-сущностях перед их разрешением. URI должен соответствовать регулярному выражению (?i)(jar:file|http|vfs)[^?#;]*\.xsd. Однако это регулярное выражение оставляет возможность для злоумышленников отправлять запросы к любому HTTP-серверу или ограниченным файлам. Злоумышленник может злоупотребить этим для сканирования внутренних сетей, получения информации о них и дальнейшей эксплуатации. В GeoServer 2.25.0 и новее по умолчанию используется ENTITY_RESOLUTION_ALLOWLIST, и не требуется указывать системное свойство.
CVE-2024-29198GeoServer — это программное обеспечение с открытым исходным кодом, написанное на Java, которое позволяет пользователям обмениваться и редактировать геопространственные данные. Возможно осуществить подделку запросов на стороне сервера (SSRF) через конечную точку Demo request, если не установлен базовый URL-адрес прокси. Обновление до GeoServer версии 2.24.4 или 2.25.2 устраняет эту проблему путем удаления сервлета TestWfsPost [1].
Источники:
- [1] https://github.com/geoserver/geoserver/security/advisories/GHSA-5gw5-jccf-6hxw
- [2] https://osgeo-org.atlassian.net/browse/GEOS-11390
- [3] https://osgeo-org.atlassian.net/browse/GEOS-11794
CVE-2025-30145GeoServer - это сервер с открытым исходным кодом, который позволяет пользователям обмениваться и редактировать геопространственные данные. Злоумышленнические скрипты Jiffle могут быть выполнены GeoServer либо как трансформация рендеринга в динамических стилях WMS, либо как процесс WPS, что может привести к бесконечному циклу и вызвать отказ в обслуживании. Эта уязвимость исправлена в версиях 2.27.0, 2.26.3 и 2.25.7. Эту уязвимость можно смягчить, отключив динамическое стилирование WMS и процесс Jiffle [1].
Источники:
- [1] https://github.com/geoserver/geoserver/security/advisories/GHSA-gr67-pwcv-76gf
- [2] https://github.com/geosolutions-it/jai-ext/pull/307
- [3] https://osgeo-org.atlassian.net/browse/GEOS-11778
CVE-2024-38524GeoServer - это открытый сервер, позволяющий пользователям обмениваться и редактировать геопространственные данные. org.geowebcache.GeoWebCacheDispatcher.handleFrontPage(HttpServletRequest, HttpServletResponse) не имеет проверки для скрытия потенциально конфиденциальной информации от пользователей, кроме скрытого свойства системы для скрытия местоположений хранилища, которое по умолчанию показывает местоположения. Эта уязвимость исправлена в версиях 2.26.2 и 2.25.6 [1].
Страница GeoWebCache раскрывает информацию о версии и ревизии используемого программного обеспечения, что может быть использовано для идентификации программного обеспечения на сервере [2].
Источники:
- [1] https://github.com/geoserver/geoserver/security/advisories/GHSA-jm79-7xhw-6f6f
- [2] https://osgeo-org.atlassian.net/browse/GEOS-11677
- [3] https://github.com/GeoWebCache/geowebcache/issues/1344
- [4] https://github.com/GeoWebCache/geowebcache/pull/1345
- [5] https://github.com/geoserver/geoserver/pull/8189
CVE-2023-41877GeoServer — это сервер программного обеспечения с открытым исходным кодом, написанный на Java, который позволяет пользователям обмениваться и редактировать геопространственные данные. Уязвимость обхода пути в версиях 2.23.4 и более ранних требует, чтобы администратор GeoServer с доступом к консоли администрирования неправильно настроил глобальные параметры для произвольного расположения файла журнала. Страница журналов GeoServer консоли администрирования предоставляет предварительный просмотр этого содержимого. Поскольку эта проблема требует доступа администраторов GeoServer, часто представляющих собой доверенную сторону, уязвимость не получила исправления на момент публикации. В качестве обходного решения системный администратор, отвечающий за запуск GeoServer, может использовать параметр `GEOSERVER_LOG_FILE`, чтобы переопределить любой параметр конфигурации, предоставленный на странице глобальных параметров. Параметр `GEOSERVER_LOG_LOCATION` можно установить как свойство системы, переменные среды или параметры контекста сервлета.
CVE-2025-27505GeoServer — это сервер с открытым исходным кодом, позволяющий пользователям делиться и редактировать геопространственные данные. Существует возможность обойти стандартную безопасность REST API и получить доступ к индексной странице. Безопасность REST API обрабатывает rest и его подпути, но не rest с расширением (например, rest.html). Индекс REST API может раскрыть информацию о том, установлены ли определенные расширения. Эта уязвимость исправлена в версиях 2.26.3 и 2.25.6. В качестве обходного пути в файле ${GEOSERVER_DATA_DIR}/security/config.xml измените пути для rest фильтра на /rest.*,/rest/** и для gwc фильтра на /gwc/rest.*,/gwc/rest/**, затем перезапустите GeoServer [1][2][3].
Источники:
- [1] https://github.com/geoserver/geoserver/security/advisories/GHSA-h86g-x8mm-78m5
- [2] https://github.com/geoserver/geoserver/pull/8170
- [3] https://osgeo-org.atlassian.net/browse/GEOS-11664
- [4] https://osgeo-org.atlassian.net/browse/GEOS-11776
CVE-2024-40625GeoServer - это открытый сервер, позволяющий пользователям делиться и редактировать геопространственные данные. API остального покрытия /workspaces/{workspaceName}/coveragestores/{storeName}/{method}.{format} позволяет злоумышленникам загружать файлы с указанным URL (при {method} равном 'url') без каких-либо ограничений. Эта уязвимость исправлена в версии 2.26.0 [1].
Источники:
- [1] https://github.com/geoserver/geoserver/security/advisories/GHSA-r4hf-r8gj-jgw2
- [2] https://osgeo-org.atlassian.net/browse/GEOS-11468
- [3] https://osgeo-org.atlassian.net/browse/GEOS-11717
CVE-2024-23640GeoServer - это сервер программного обеспечения с открытым исходным кодом, написанный на Java, который позволяет пользователям обмениваться и редактировать геопространственные данные. В версиях до 2.23.3 и 2.24.0 существует сохраненная межсайтовая уязвимость сценариев (XSS), которая позволяет аутентифицированному администратору с привилегиями уровня рабочей области хранить полезную нагрузку JavaScript в загруженных ресурсах стиля/легенды или в специально созданном файле хранилища данных, который будет выполняться в контексте браузера другого пользователя при просмотре в Style Publisher. Доступ к Style Publisher доступен всем пользователям, хотя безопасность данных может ограничивать возможность пользователей запускать XSS. Версии 2.23.3 и 2.24.0 содержат исправление для этой проблемы.