开源 GeoServer 中的 CVE-2024-36401 漏洞使系统面临远程代码执行风险

CVE-2024-36401影响 2.25.2、2.24.4 和 2.23.6 之前的 GeoServer 版本。该漏洞源于在多个 OGC 请求参数中以 XPath 表达式不安全地评估属性名称。攻击者可通过在默认 GeoServer 安装中注入伪造的输入，利用此漏洞创建 RCE（远程代码执行）。

 根据 GitHub 安全公告，该漏洞的 CVSS v3.1 得分为 9.8（危急）。 

GeoServer 支持简单和复杂的特征类型，以适应从平面到复杂嵌套数据集的不同地理空间数据结构。然而，这些数据类型的 XPath 表达式处理存在缺陷，使得 CVE-2024-36401 成为可利用的漏洞。

简单特征类型以平面格式表示直接的地理空间数据，数据库中的每一行都对应一个地理空间特征；每个属性都直接映射到一个 XML 元素。 

例如，包含 id、名称和位置等列的公司表可以很容易地转换成简单的 XML 功能。

相比之下，复杂特征类型可处理更复杂的数据。这种特征类型支持嵌套属性和不同数据集之间的关系。这些复杂的模式不是自动生成的，而是按照 GeoServer 的应用模式扩展中概述的社区标准定义的。

例如 

在之前的公司表下，我们添加了一个外键 gu_id 来描述公司与其相应地质单元之间的关系：

地质单元信息单独存储在表 地质单元:

通过使用这些表格，我们可以将公司映射到 sa:SamplingCompany，其中包含一个嵌套的 gsml:地质单元.这种设置创建了一个复杂的功能，因为它涉及到由社区规范而不是自动生成的模式所定义的嵌套类型和关系。

GeoServer 设计用于使用 XPath 评估来处理复杂的特征类型（如 Application Schema 数据存储中的特征类型）。但由于处理不当，它也错误地将 XPath 评估应用于简单的特征类型。这就产生了一个攻击向量，因为

1. GeoServer 依靠 GeoTools 库在数据检索过程中评估属性名称。
2. "(《世界人权宣言》) 共用-jxpath 库缺乏适当的验证，在处理 XPath 表达式时可执行任意代码。
3. 这一漏洞使所有 GeoServer 实例都面临潜在的 RCE 漏洞，因为攻击者可以制作恶意请求，利用这种不安全的 XPath 执行来控制服务器。

• A 职位 请求被发送到 获取属性值 操作。然后，GeoServer 会尝试检索该属性（或 值参考)为一个给定的特征。  
• 如果请求的属性存在于地物类型详细信息表中，GeoServer 将正常处理该属性。

除了标准函数外，JXPath 还支持作为 Java 桥梁的扩展函数。这种 "通向 Java 的桥梁 "至关重要，因为它允许在 XPath 查询中直接调用 Java 函数：

GeoServer 的 WFS 使用户能够查询和操作地理空间特征。在正常情况下，WFS 获取属性值 操作只会以 XML 结构返回所请求的属性。

1. 攻击者向 /geoserver/wfs 发送 POST 请求。
2. GeoServer 会检查最外层的 XML 标记--"......"。wfs:GetPropertyValue-来决定运行哪个操作。
3. 然后，GeoServer 会将请求参数委托给 WFS 类中的相应方法。在这种情况下，调度程序会将请求指向 获取属性值 方法。

为了在现实世界中模拟这种利用，我们的OPSWAT 研究生研究员在本地 Windows 机器上部署了 GeoServer。访问 GeoServer 时会显示以下界面。

一个简单的漏洞利用可能升级为软件供应链攻击，尤其是在依赖 GeoServer 等开源软件的项目中。OPSWAT SBOM（软件 物料清单）技术有助于识别代码库中的 CVE-2024-36401 等漏洞。

本例演示了OPSWAT SBOM：

1. 检测受漏洞影响的软件组件。
2. 对安全漏洞的严重性进行评估和评级--在这里，GeoServer CVE 被标记为 "严重"。
3. 标识受影响的版本。
4. 推荐固定版本，以便开发团队及时打补丁或采取补救措施。