PT-2024-26113 · Geoserver · Geoserver

Miceg · Publicado 2024-07-01 · Atualizado 2024-07-03 · CVE-2024-34696

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do GeoServer 2.10.0 a 2.24.3

Versões do GeoServer 2.25.0

Descrição

O problema diz respeito à página de status do servidor do GeoServer e à API REST, que exibem todas as variáveis de ambiente e propriedades Java a qualquer usuário do GeoServer com direitos administrativos. Essas variáveis/propriedades podem conter informações confidenciais, como senhas de banco de dados ou chaves/tokens de API. O escopo exato do problema depende da imagem do contêiner utilizada e de sua configuração. O endpoint da API about status, que alimenta a página de Status do Servidor, está disponível apenas para administradores. Por padrão, o GeoServer permite apenas acesso à API autenticado da mesma origem, limitando a possibilidade de um invasor externo usar as credenciais de um administrador para obter acesso às credenciais.

Recomendações

Para as versões 2.10.0 a 2.24.3 do GeoServer, atualize para a versão 2.24.4 para obter a correção do bug.

Para a versão 2.25.0 do GeoServer, atualize para a versão 2.25.1 para obter a correção do bug.

Como solução alternativa, mantenha as variáveis de ambiente e as propriedades do sistema Java ocultas por padrão. Se houver a opção de reativá-las, comunique o impacto e os riscos para que os usuários possam fazer uma escolha informada.

As imagens de contêiner devem adotar uma “defesa em profundidade” para limitar o impacto quando configuradas para exibir variáveis de ambiente e/ou propriedades. Passe segredos para o contêiner como arquivos ou referências a um segredo armazenado nos metadados de um provedor de nuvem ou em um serviço de gerenciamento de segredos. Certifique-se de que qualquer arquivo de configuração

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2024-34696

GHSA-J59V-VGCR-HXVF

Produtos afetados

Geoserver

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/34xxx/CVE-2024-34696.json · Exploit
• https://github.com/geoserver/geoserver · Nota
• https://github.com/geoserver/geoserver/security/advisories/GHSA-j59v-vgcr-hxvf · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-34696 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j59v-vgcr-hxvf · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-34696 · Nota de Segurança
• https://t.me/cvenotify/85103 · Publicação no Telegram