Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-94
  • CWE-95

CVE-2024-36401

GeoServer'da kimlik doğrulamasız uzaktan kod çalıştırma açığı (XPath değerlendirme)

geoserver

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
849 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 15 Tem 2024 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 5 Ağu 2024.

Yönetici özeti

İnternetten erişilebilen GeoServer sunucuları, herhangi bir giriş bilgisi olmadan uzaktan ele geçirilebilir ve açığın aktif olarak istismar edildiği bilinmektedir. Risk çok yüksektir, bu nedenle güncelleme veya geçici önlem gecikmeden uygulanmalıdır. Güncelleme yapılana kadar sunucunun dış erişime kapatılması düşünülmelidir.

ÖzetTürkçe

GeoServer, özellik (property) adlarını XPath ifadesi olarak güvensiz biçimde değerlendirdiği için, özel hazırlanmış OGC istek parametreleri üzerinden kod çalıştırılmasına izin vermektedir. Sorun, GeoTools kütüphanesinin bu adları commons-jxpath kütüphanesine güvensiz şekilde iletmesinden kaynaklanır ve varsayılan kurulumdaki tüm GeoServer örneklerini etkiler. Açık WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic ve WPS Execute isteklerinde doğrulanmıştır. 2.22.6, 2.23.6, 2.24.4 ve 2.25.2 öncesi sürümler etkilenir; açık CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Kimlik doğrulaması olmayan bir saldırgan, sunucuda GeoServer sürecinin yetkileriyle keyfi kod çalıştırabilir. Bu durum sistemin tamamen ele geçirilmesine, verilerin okunmasına veya değiştirilmesine ve hizmetin kesintiye uğramasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

GeoServer is an open source server that allows users to share and edit geospatial data. Prior to versions 2.22.6, 2.23.6, 2.24.4, and 2.25.2, multiple OGC request parameters allow Remote Code Execution (RCE) by unauthenticated users through specially crafted input against a default GeoServer installation due to unsafely evaluating property names as XPath expressions.

The GeoTools library API that GeoServer calls evaluates property/attribute names for feature types in a way that unsafely passes them to the commons-jxpath library which can execute arbitrary code when evaluating XPath expressions. This XPath evaluation is intended to be used only by complex feature types (i.e., Application Schema data stores) but is incorrectly being applied to simple feature types as well which makes this vulnerability apply to **ALL** GeoServer instances. No public PoC is provided but this vulnerability has been confirmed to be exploitable through WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic and WPS Execute requests. This vulnerability can lead to executing arbitrary code.

Versions 2.22.6, 2.23.6, 2.24.4, and 2.25.2 contain a patch for the issue. A workaround exists by removing the gt-complex-x.y.jar file from the GeoServer where x.y is the GeoTools version (e.g., gt-complex-31.1.jar if running GeoServer 2.25.1). This will remove the vulnerable code from GeoServer but may break some GeoServer functionality or prevent GeoServer from deploying if the gt-complex module is needed.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. GeoServer'ı yamalı sürümlere yükseltin: 2.22.6, 2.23.6, 2.24.4 veya 2.25.2 (ya da daha yenisi). Üretici
  2. Üretici talimatlarına göre önlemleri uygulayın; önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
  3. Yama veya geçici çözüm uygulanana kadar GeoServer'a internet erişimini güvenlik duvarı ile kısıtlayın. Genel öneri

Ek önlemler

  • GeoServer'ı yalnızca gerekli ağlardan erişilebilir kılın ve mümkünse bir ters vekil veya WAF arkasında çalıştırın. Genel öneri
  • Sunucu ve erişim günlüklerinde WFS, WMS ve WPS isteklerinde olağandışı veya anormal parametreleri ve beklenmeyen alt süreç oluşumunu izleyin. Genel öneri
  • Açığın aktif istismar edildiği göz önüne alınarak, yama öncesi dönemde sistemde ele geçirilme belirtileri (yeni hesaplar, bilinmeyen dosyalar, şüpheli giden bağlantılar) olup olmadığını kontrol edin. Genel öneri
  • GeoServer'ı en az yetkili bir kullanıcı hesabıyla çalıştırın ve sunucudaki hassas verilere erişimini sınırlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
geoserver < 2.22.6 2.22.6

Kaynaklar9 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.