GeoServer - это открытый сервер, позволяющий пользователям обмениваться и редактировать геопространственные данные. Класс GeoTools Schema и…

GeoServer - это открытый сервер, позволяющий пользователям обмениваться и редактировать геопространственные данные. Класс GeoTools Schema использует библиотеку Eclipse XSD для представления структуры схемы данных, уязвимой для эксплуатации XML External Entity (XXE). Это влияет на тех, кто предоставляет обработку XML с участием gt-xsd-core в процессе парсинга, когда документы содержат ссылку на внешнюю схему XML. Класс Schemas gt-xsd-core не использует EntityResolver, предоставленный ParserHandler (если он был настроен). Это также влияет на пользователей gt-wfs-ng DataStore, где параметр подключения ENTITY_RESOLVER не использовался по назначению. Эта уязвимость исправлена в GeoTools 33.1, 32.3, 31.7 и 28.6.1, GeoServer 2.27.1, 2.26.3 и 2.25.7, а также GeoNetwork 4.4.8 и 4.2.13 [1]. Уязвимость позволяет неаутентифицированным злоумышленникам читать произвольные файлы из файловой системы сервера, доступные процессу GeoServer, что может привести к раскрытию конфиденциальной информации, включая файлы конфигурации, учетные данные и системные файлы. Также возможен SSRF [2]. Источники: - [1] https://github.com/geoserver/geoserver/security/advisories/GHSA-jj54-8f66-c5pc - [2] https://github.com/geotools/geotools/security/advisories/GHSA-826p-4gcg-35vw - [3] https://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-2p76-gc46-5fvc - [4] https://github.com/geonetwork/core-geonetwork/pull/8757 - [5] https://github.com/geonetwork/core-geonetwork/pull/8803