CVE-2024-36401
OSGeo GeoServer GeoTools Eval Injection Vulnerability
Beschreibung
CVE-2024-36401 ist eine kritische Remote Code Execution (RCE) Schwachstelle in GeoServer, einem Open-Source-Server fuer den Austausch geospatialer Daten. Mehrere OGC-Request-Parameter ermoeglichen unauthentifizierten Benutzern die Ausfuehrung von beliebigem Code durch speziell praeparierte Eingaben, die als XPath-Ausdruecke ausgewertet werden. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet.
Die CISA hat CVE-2024-36401 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-08-05. Der EPSS-Score von 94,43 % (100,0. Perzentil) erreicht den Hoechstwert. Betroffen sind GeoServer-Versionen vor 2.22.6, 2.23.6, 2.24.4 und 2.25.2 sowie die zugrunde liegende GeoTools-Bibliothek.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| geoserver | geoserver | < 2.22.6; >= 2.23.0, < 2.23.6; >= 2.24.0, < 2.24.4; >= 2.25.0, < 2.25.2 |
| geotools | geotools | < 29.6; >= 30.1, < 30.4; >= 31.1, < 31.2; 30.0; 31.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/Warxim/CVE-2022-41852?tab=readme-ov-file#workaround-for-cve-2022-41852(Exploit, Third Party Advisory)
- https://github.com/geoserver/geoserver/security/advisories/GHSA-6jj6-gm7p-fcvv(Mitigation, Vendor Advisory)
- https://github.com/geotools/geotools/pull/4797(Issue Tracking, Patch)
- https://github.com/geotools/geotools/security/advisories/GHSA-w3pj-wh35-fq8w(Exploit, Vendor Advisory)
- https://osgeo-org.atlassian.net/browse/GEOT-7587(Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/geoserver-rce-cve-2024-36401(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-36401(US Government Resource)
Schwachstellentyp
Unsichere XPath-Auswertung von Property Names
CVE-2024-36401 basiert auf der unsicheren Auswertung von Property Names als XPath-Ausdruecke in der GeoTools-Bibliothek, die von GeoServer verwendet wird. Die Schwachstelle entsteht, weil OGC-Request-Parameter nicht als einfache Textfelder behandelt, sondern als ausfuehrbarer Code interpretiert werden. Diese Art von Schwachstelle faellt in den Bereich von CWE-94 (Improper Control of Generation of Code, Code Injection).
Die GeoTools-API uebergibt Property Names unsicher an die commons-jxpath-Bibliothek, die XPath-Ausdruecke auswerten kann. Ein Angreifer kann dadurch beliebige Methoden aufrufen und Code auf dem Server ausfuehren. Die Schwachstelle betrifft eine Standard-GeoServer-Installation ohne zusaetzliche Konfiguration.
Weitere Informationen: CWE-94 -- Improper Control of Generation of Code
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-36401 sind fuer Organisationen, die GeoServer einsetzen, ausserordentlich kritisch. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe. Vertraulichkeit (Hoch): Ein Angreifer erlangt durch Remote Code Execution vollstaendigen Zugriff auf den Server, einschliesslich geospatialer Daten, Konfigurationsdateien, Datenbank-Zugangsdaten und aller auf dem System gespeicherten Informationen. In vielen Einsatzszenarien verarbeitet GeoServer sensible Geodaten von Behoerden, Versorgungsunternehmen und Forschungseinrichtungen. Integritaet (Hoch): Geospatiale Daten koennen manipuliert werden, was bei Anwendungen in der Stadtplanung, im Katastrophenschutz oder in der Landesvermessung schwerwiegende Konsequenzen haben kann. Verfuegbarkeit (Hoch): Der Server kann vollstaendig ausser Betrieb gesetzt oder fuer Cryptomining und andere boeswillige Zwecke missbraucht werden. Der EPSS-Score von 94,43 % (100,0. Perzentil) und die massive Ausnutzung in freier Wildbahn machen CVE-2024-36401 zu einer der gefaehrlichsten Open-Source-Schwachstellen des Jahres 2024.
Exploit-Reifegrad
CVE-2024-36401 weist die hoechstmoegliche Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-08-05 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,43 % (100,0. Perzentil) ist der Maximalwert. Der Ransomware-Status ist als Unknown eingestuft. Mehrere oeffentliche Exploit-Quellen sind verfuegbar: Das GeoServer Security Advisory GHSA-6jj6-gm7p-fcvv dokumentiert die Schwachstelle einschliesslich Mitigationsmassnahmen. Das GeoTools Security Advisory GHSA-w3pj-wh35-fq8w behandelt die zugrunde liegende Bibliotheks-Schwachstelle. Eine technische Exploit-Analyse von Vicarius stellt detaillierten Exploit-Code bereit. Zusaetzlich existiert ein Verweis auf CVE-2022-41852, der den zugrundeliegenden Fehler in der commons-jxpath-Bibliothek dokumentiert.
Behebung
-
GeoServer umgehend aktualisieren: Aktualisieren Sie auf GeoServer 2.22.6, 2.23.6, 2.24.4 oder 2.25.2 (je nach eingesetzter Release-Linie). Konsultieren Sie das GeoServer Security Advisory fuer detaillierte Versionsinformationen.
-
GeoTools-Bibliothek aktualisieren: Stellen Sie sicher, dass auch die GeoTools-Bibliothek auf eine gepatchte Version (29.6, 30.4 oder 31.2) aktualisiert wird. Das GeoTools-Patch behebt die zugrunde liegende XPath-Auswertungsproblematik.
-
OGC-Service-Endpunkte einschraenken: Als Sofortmassnahme koennen bestimmte OGC-Request-Parameter deaktiviert oder eingeschraenkt werden. Das GeoServer Security Advisory beschreibt Workarounds, um die verwundbaren Evaluierungspfade zu blockieren, bis ein vollstaendiger Patch eingespielt werden kann.
-
Netzwerkzugang beschraenken: Stellen Sie sicher, dass der GeoServer nur fuer autorisierte Benutzer erreichbar ist. Implementieren Sie Reverse-Proxy-Konfigurationen mit Authentifizierung vor dem GeoServer. Schraenken Sie den Zugriff auf OGC-Service-Endpunkte ein.
-
Forensische Untersuchung durchfuehren: Ueberpruefen Sie Server-Logs auf Anzeichen einer Kompromittierung. Suchen Sie nach verdaechtigen OGC-Anfragen mit ungewoehnlichen Property-Name-Parametern, unautorisierter Prozessausfuehrung und verdaechtigem Netzwerkverkehr.
Technische Details
CVE-2024-36401 betrifft GeoServer in den Versionen vor 2.22.6, 2.23.6, 2.24.4 und 2.25.2 sowie die GeoTools-Bibliothek in den Versionen vor 29.6, 30.4 und 31.2. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber die OGC-Service-Endpunkte des GeoServers erreichbar, die in der Regel oeffentlich zugaenglich sind. Angriffskomplexitaet (Niedrig): Die Ausnutzung erfordert lediglich das Senden von speziell praeparierten OGC-Anfragen. Berechtigungen (Keine): Keinerlei Authentifizierung erforderlich. Benutzerinteraktion (Keine): Der Angriff kann vollstaendig automatisiert erfolgen. Der Angriffsmechanismus basiert auf einer fundamentalen Design-Schwaeche in der GeoTools-Bibliothek. Mehrere OGC-Request-Parameter (wie PropertyName in WFS GetPropertyValue) werden intern als XPath-Ausdruecke an die Apache Commons JXPath-Bibliothek weitergeleitet. Da JXPath die Ausfuehrung von Java-Methoden ueber XPath-Ausdruecke ermoeglicht, kann ein Angreifer durch speziell konstruierte Property Names beliebige Java-Methoden auf dem Server aufrufen und damit Remote Code Execution erzielen.
Häufig gestellte Fragen
Betrifft CVE-2024-36401 nur GeoServer oder auch GeoTools?
Die Schwachstelle liegt in der GeoTools-Bibliothek, die die unsichere XPath-Auswertung durchfuehrt. GeoServer ist als prominentester Nutzer von GeoTools am staerksten betroffen. Andere Anwendungen, die GeoTools verwenden, koennen ebenfalls betroffen sein, insbesondere wenn sie OGC-Anfragen verarbeiten. Sowohl GeoServer als auch GeoTools muessen aktualisiert werden.
Kann ich die Schwachstelle ohne Update beheben?
Das GeoServer Security Advisory beschreibt einen Workaround, bei dem bestimmte Bibliotheksdateien entfernt werden koennen, um die verwundbaren Evaluierungspfade zu deaktivieren. Dieser Workaround kann jedoch bestimmte GeoServer-Funktionalitaeten beeintraechtigen. Ein vollstaendiges Update ist die empfohlene Loesung.
Wird CVE-2024-36401 fuer Ransomware-Angriffe genutzt?
Der Ransomware-Status ist als Unknown eingestuft. Aufgrund der einfachen Ausnutzbarkeit, der weiten Verbreitung von GeoServer und der Moeglichkeit zur Remote Code Execution ist der Einsatz in verschiedenen Angriffsszenarien, einschliesslich Ransomware, wahrscheinlich. Die CISA empfiehlt die sofortige Behebung.
Wer setzt GeoServer typischerweise ein?
GeoServer wird haeufig von Behoerden, Forschungseinrichtungen, Versorgungsunternehmen, Stadtplanungsaemtern und Unternehmen eingesetzt, die geospatiale Daten verarbeiten und bereitstellen. Die Open-Source-Natur und die Unterstuetzung von OGC-Standards machen GeoServer zu einer beliebten Wahl fuer Geodateninfrastrukturen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.