Geonetwork
Уязвимости
4
Эксплуатируемые
0
Макс. CVSS
9.1
Макс. EPSS
0.49165
Распределение по критичности
Критический
1
Высокий
2
Средний
1
Низкий
0
Затронутые диапазоны версий
3.10.0–4.2.03.4.0–3.12.04.2.0–4.2.13< 4.2.10
Также сопоставлено как (исходные строки): geoserver,geotools,geonetwork
Топ уязвимостей
CVE-2025-30220GeoServer - это открытый сервер, позволяющий пользователям обмениваться и редактировать геопространственные данные. Класс GeoTools Schema использует библиотеку Eclipse XSD для представления структуры схемы данных, уязвимой для эксплуатации XML External Entity (XXE). Это влияет на тех, кто предоставляет обработку XML с участием gt-xsd-core в процессе парсинга, когда документы содержат ссылку на внешнюю схему XML. Класс Schemas gt-xsd-core не использует EntityResolver, предоставленный ParserHandler (если он был настроен). Это также влияет на пользователей gt-wfs-ng DataStore, где параметр подключения ENTITY_RESOLVER не использовался по назначению. Эта уязвимость исправлена в GeoTools 33.1, 32.3, 31.7 и 28.6.1, GeoServer 2.27.1, 2.26.3 и 2.25.7, а также GeoNetwork 4.4.8 и 4.2.13 [1].
Уязвимость позволяет неаутентифицированным злоумышленникам читать произвольные файлы из файловой системы сервера, доступные процессу GeoServer, что может привести к раскрытию конфиденциальной информации, включая файлы конфигурации, учетные данные и системные файлы. Также возможен SSRF [2].
Источники:
- [1] https://github.com/geoserver/geoserver/security/advisories/GHSA-jj54-8f66-c5pc
- [2] https://github.com/geotools/geotools/security/advisories/GHSA-826p-4gcg-35vw
- [3] https://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-2p76-gc46-5fvc
- [4] https://github.com/geonetwork/core-geonetwork/pull/8757
- [5] https://github.com/geonetwork/core-geonetwork/pull/8803
CVE-2022-50899Geonetwork 3.10-4.2.0 содержит уязвимость внешнего элемента XML в PDF-рендеринге, которая позволяет злоумышленникам извлекать произвольные файлы с сервера. Злоумышленники могут использовать небезопасный XML-парсер, создав вредоносный XML-документ с внешними ссылками на объекты для чтения системных файлов через параметр baseURL в запросах создания PDF.
CVE-2021-28398Привилегированный злоумышленник в GeoNetwork до 3.12.0 и 4.x до 4.0.4 может использовать пред-скрипт сборщика каталогов для удаленного выполнения произвольных команд ОС на хостинговой инфраструктуре. Для этого требуется учетная запись администратора пользователя или администратора. Это происходит в методе runBeforeScript в harvesters/src/main/java/org/fao/geonet/kernel/harvest/harvester/localfilesystem/LocalFilesystemHarvester.java. Самая ранняя затронутая версия — 3.4.0.
CVE-2024-32037GeoNetwork - это каталог приложений для управления пространственно привязанными ресурсами. В версиях до 4.2.10 и 4.4.5 заголовки ответа конечной точки поиска содержат информацию о используемом программном обеспечении Elasticsearch. Эта информация имеет значительную ценность с точки зрения безопасности, так как позволяет легко идентифицировать программное обеспечение, используемое сервером. GeoNetwork 4.4.5 и 4.2.10 устраняют эту проблему. Известные обходные решения отсутствуют.