PT-2022-16921 · Geoserver · Geoserver
Jodygarnett
·
Publicado
2022-04-13
·
Atualizado
2025-12-29
·
CVE-2022-24847
CVSS v2.0
9.0
Alta
| Vetor | AV:N/AC:L/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do GeoServer anteriores à 2.21.0
Versões do GeoServer anteriores à 2.20.4
Versões do GeoServer anteriores à 1.19.6
Descrição
O mecanismo de segurança do GeoServer pode realizar uma pesquisa JNDI não verificada, que pode ser usada para realizar a desserialização de classes e resultar na execução de código arbitrário. Isso pode ocorrer durante a configuração de armazenamentos de dados com fontes de dados localizadas no JNDI ou durante a configuração do mecanismo de cota de disco. Para explorar essa vulnerabilidade, um ataque precisa ter obtido direitos de administrador e usar a GUI do GeoServer ou sua API REST.
Recomendações
Para versões anteriores à 2.21.0, restrinja o acesso a
geoserver/web e geoserver/rest por meio de um firewall e certifique-se de que o GeoWebCache não seja acessível remotamente.Para versões anteriores à 2.20.4, restrinja o acesso a
geoserver/web e geoserver/rest por meio de um firewall e certifique-se de que o GeoWebCache não seja acessível remotamente.Para versões anteriores à 1.19.6, restrinja o acesso a
geoserver/web e geoserver/rest por meio de um firewall e certifique-se de que o GeoWebCache não seja acessível remotamente.Exploit
Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Geoserver