PT-2024-26971 · Geotools · Geotools

Sikeoka

·

Publicado

2024-06-04

·

Atualizado

2025-02-05

·

CVE-2024-36404

CVSS v2.0

10

Crítica

VetorAV:N/AC:L/Au:N/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Versões do GeoTools anteriores à 31.2
Versões do GeoTools anteriores à 30.4
Versões do GeoTools anteriores à 29.6
Descrição
O GeoTools é uma biblioteca Java de código aberto que fornece ferramentas para dados geoespaciais. A execução remota de código (RCE) é possível se um aplicativo utilizar determinada funcionalidade do GeoTools para avaliar expressões XPath fornecidas pela entrada do usuário. Como exemplo do impacto, o esquema de aplicativo datastore não funcionaria sem a capacidade de usar expressões XPath para consultar conteúdo complexo.
Recomendações
Para versões anteriores à 31.2, considere atualizar para a versão 31.2 ou posterior.
Para versões anteriores à 30.4, considere atualizar para a versão 30.4 ou posterior.
Para versões anteriores à 29.6, considere atualizar para a versão 29.6 ou posterior.
Como solução alternativa temporária, considere remover o jar gt-complex do aplicativo para operar com funcionalidade reduzida.
Como alternativa, para as versões 31.1, 30.3, 30.2, 29.2, 28.2, 27.5, 27.4, 26.7, 26.4, 25.2 e 24.0, utilize um arquivo jar do GeoTools de substituição direta disponível no SourceForge.

Exploit

Correção

Eval Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-95

Identificadores relacionados

BDU:2025-03363
CVE-2024-36404
GHSA-W3PJ-WH35-FQ8W

Produtos afetados

Geotools