CVE-2025-58360
OSGeo GeoServer Improper Restriction of XML External Entity Reference Vulnerability
Beschreibung
CVE-2025-58360 ist eine schwerwiegende XML External Entity (XXE) Schwachstelle in GeoServer, einer Open-Source-Software zur Bereitstellung und Bearbeitung von Geodaten, die mit einem CVSS-Score von 8.2 (HIGH) bewertet wurde. Die Schwachstelle befindet sich im WMS-Endpunkt (GetMap-Operation) und ermoeglicht es einem nicht authentifizierten Angreifer, externe XML-Entitaeten einzuschleusen, um vertrauliche Daten vom Server auszulesen. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen, mit einer Frist bis zum 1. Januar 2026. Der EPSS-Score ist mit 0.85689 (99.4. Perzentil) aussergewoehnlich hoch und signalisiert massive aktive Ausnutzung. Betroffen sind GeoServer-Versionen vor 2.25.6 sowie Versionen 2.26.0 bis vor 2.26.2.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:LIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| geoserver | geoserver | < 2.25.6; >= 2.26.0, < 2.26.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://github.com/geoserver/geoserver/security/advisories/GHSA-fjf5-xgmq-5525(Vendor Advisory)
- https://osgeo-org.atlassian.net/browse/GEOS-11682(Issue Tracking)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-58360(US Government Resource)
Schwachstellentyp
CWE-611: Improper Restriction of XML External Entity Reference
Die zugrunde liegende Schwaeche wird als CWE-611 (Improper Restriction of XML External Entity Reference) klassifiziert. Dieser Schwachstellentyp beschreibt Faelle, in denen eine Anwendung XML-Eingaben verarbeitet, ohne externe Entitaetsreferenzen angemessen einzuschraenken. Ein Angreifer kann dadurch externe Entitaeten definieren, die den XML-Parser dazu veranlassen, auf lokale Dateien zuzugreifen, interne Netzwerkressourcen anzufragen oder Denial-of-Service-Angriffe durchzufuehren. Bei CVE-2025-58360 akzeptiert die WMS GetMap-Operation von GeoServer XML-Eingaben, die nicht ausreichend bereinigt werden, wodurch ein Angreifer externe Entitaeten einschleusen kann. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-58360 sind besonders im Kontext kritischer Infrastrukturen und Geodaten-Dienste gravierend. Vertraulichkeit: Durch die XXE-Schwachstelle kann ein Angreifer vertrauliche Dateien vom Server auslesen, einschliesslich Konfigurationsdateien, Datenbank-Zugangsdaten und andere sensitive Informationen (C:H). GeoServer-Instanzen verwalten haeufig klassifizierte Geodaten von Behoerden und Unternehmen. Integritaet: Die Integritaet wird als nicht betroffen eingestuft (I:N), da die XXE-Schwachstelle primaer Lesezugriff ermoeglicht. Verfuegbarkeit: Ein Angreifer kann durch sogenannte XML-Bomben oder rekursive Entitaeten den Server ueberlasten und einen Denial-of-Service verursachen (A:L). Der EPSS-Score von 0.85689 im 99.4. Perzentil ist einer der hoechsten ueberhaupt und zeigt, dass diese Schwachstelle weltweit zu den am haeufigsten ausgenutzten gehoert. Die KEV-Aufnahme mit Frist bis zum 1. Januar 2026 unterstreicht die Dringlichkeit. Die Ransomware-Verwertung ist unbekannt, wobei die exfiltrierten Daten als Einstiegspunkt fuer weitergehende Angriffe dienen koennen.
Exploit-Reifegrad
CVE-2025-58360 wird massiv und breitflaechig ausgenutzt. Der EPSS-Score von 0.85689 im 99.4. Perzentil gehoert zu den hoechsten weltweit und signalisiert, dass nahezu alle exponierten GeoServer-Instanzen aktiv angegriffen werden. Die CISA hat die Schwachstelle in ihren KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 1. Januar 2026. Das GeoServer Security Advisory GHSA-fjf5-xgmq-5525 dokumentiert die Schwachstelle im Detail. Da keinerlei Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N) erforderlich sind, kann die Exploitation vollstaendig automatisiert erfolgen. Die Ransomware-Assoziation ist derzeit unbekannt.
Behebung
-
Sofortiges Update durchfuehren: Aktualisieren Sie GeoServer auf Version 2.25.6 (fuer die 2.25.x-Reihe) oder 2.26.2 (fuer die 2.26.x-Reihe). Diese Versionen beheben die XXE-Schwachstelle in der WMS GetMap-Operation.
-
GeoServer Security Advisory pruefen: Lesen Sie das offizielle Security Advisory GHSA-fjf5-xgmq-5525 und den Bug-Tracker-Eintrag GEOS-11682 fuer zusaetzliche technische Details.
-
WMS-Endpunkt absichern: Falls ein sofortiges Update nicht moeglich ist, schraenken Sie den Zugriff auf den WMS-Endpunkt (/geoserver/wms) durch Netzwerk-Firewalls oder einen vorgeschalteten Reverse Proxy ein.
-
XML-Parser haerten: Konfigurieren Sie den XML-Parser so, dass externe Entitaeten und DTD-Verarbeitung deaktiviert sind. Dies kann als temporaerer Workaround dienen, bis das Update eingespielt wird.
-
Server-Dateien auf Zugriffsspuren pruefen: Analysieren Sie die Zugriffsprotokolle auf verdaechtige XML-Anfragen an den WMS-Endpunkt, insbesondere solche, die DOCTYPE-Deklarationen oder externe Entitaetsreferenzen enthalten.
Technische Details
CVE-2025-58360 betrifft GeoServer in den Versionen 2.26.0 bis vor 2.26.2 sowie vor 2.25.6. Der CVSS:3.1-Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L beschreibt eine primaer auf Datenexfiltration ausgerichtete Schwachstelle. Angriffsvektor (AV:N): Die Schwachstelle ist ueber das Netzwerk erreichbar, ueber den oeffentlichen WMS-Endpunkt. Angriffskomplexitaet (AC:L): Keine besonderen Bedingungen erforderlich. Privilegien (PR:N): Keinerlei Authentifizierung notwendig. Benutzerinteraktion (UI:N): Vollstaendig automatisierbarer Angriff. Der technische Angriffsmechanismus nutzt den WMS-Endpunkt (/geoserver/wms) mit der GetMap-Operation. Diese Operation akzeptiert XML-Eingaben, die nicht ausreichend gegen externe Entitaetsreferenzen (XXE) sanitisiert werden. Ein Angreifer kann eine speziell praeparierte XML-Anfrage senden, die eine DOCTYPE-Deklaration mit einer externen Entitaet enthaelt, beispielsweise einen Verweis auf eine lokale Datei (file://) oder eine interne Netzwerkressource (http://internal-server/). Der XML-Parser liest den referenzierten Inhalt und gibt ihn in der Serverantwort zurueck, wodurch vertrauliche Dateien exfiltriert werden koennen.
Häufig gestellte Fragen
Was ist eine XXE-Schwachstelle und warum ist sie gefaehrlich?
Bei einer XML External Entity (XXE) Schwachstelle verarbeitet eine Anwendung XML-Eingaben, die externe Referenzen enthalten. Ein Angreifer kann dadurch den Server dazu bringen, lokale Dateien auszulesen, interne Netzwerkdienste abzufragen oder sich selbst durch rekursive Entitaeten zu ueberlasten.
Warum ist der EPSS-Score so aussergewoehnlich hoch?
Der EPSS-Score von 0.85689 im 99.4. Perzentil zeigt, dass GeoServer-Instanzen weltweit massiv angegriffen werden. Die Kombination aus fehlender Authentifizierung, einfacher Ausnutzung und der weiten Verbreitung von GeoServer im Geoinformatik-Bereich macht die Schwachstelle besonders attraktiv.
Welche Daten koennen durch die Schwachstelle exfiltriert werden?
Ein Angreifer kann prinzipiell jede Datei lesen, auf die der GeoServer-Prozess Zugriff hat. Dies umfasst Konfigurationsdateien, Datenbank-Zugangsdaten, SSH-Schluessel und andere vertrauliche Informationen auf dem Server.
Ist meine GeoServer-Instanz betroffen?
Wenn Sie GeoServer in einer Version zwischen 2.26.0 und 2.26.1 oder in einer Version vor 2.25.6 betreiben und der WMS-Endpunkt erreichbar ist, ist Ihre Instanz betroffen und sollte umgehend aktualisiert werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.