GeoServer

GeoTools ist eine quelloffene Java-Bibliothek für Geodaten-Werkzeuge. Ab Version 30.5 und vor den Versionen 33.6, 34.5 und 33.6 besteht laut Hersteller eine SQL-Injection-Schwachstelle. CVSS-Basiswert: 9.8 (Kritisch).

In MapServer vor Version 8.4.1 ist die XML-Filter-Direktive PropertyName anfällig für Boolean-basierte SQL-Injection. Durch das Einschleusen doppelter Anführungszeichen in PropertyName lässt sich die Ausdrucksprüfung umgehen und Backend-Datenbankabfragen manipulieren. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 8.4.1.

GeoServer ist ein quelloffener Server zum Teilen und Bearbeiten von Geodaten. Die GeoTools-Klasse Schema nutzt die Eclipse-XSD-Bibliothek und ist für einen XML-External-Entity-Angriff (XXE) anfällig: Die gt-xsd-core-Schemas-Klasse verwendet den vom ParserHandler bereitgestellten EntityResolver nicht, wodurch beim Parsen von XML-Dokumenten mit Verweis auf ein externes XML-Schema externe Entitäten aufgelöst werden. Ebenfalls betroffen sind Nutzer des gt-wfs-ng DataStore. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf GeoTools 33.1, 32.3, 31.7 oder 28.6.1 bzw. GeoServer 2.27.1, 2.26.3 oder 2.25.7 aktualisieren.

In GeoServer besteht eine Schwachstelle durch unzureichende URI-Validierung, die einem nicht autorisierten Angreifer einen XML-External-Entity-Angriff (XXE) ermöglicht und darüber GET-Anfragen an beliebige HTTP-Server absetzen lässt. Standardmässig filtert GeoServer schädliche URIs in XML-Entitäten über eine Regex, doch diese lässt weiterhin Anfragen an beliebige HTTP-Server oder eingeschränkte Dateien zu. Angreifer können dies missbrauchen, um interne Netzwerke zu scannen und Informationen darüber zu sammeln. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: GeoServer 2.25.0 oder neuer nutzt standardmässig die ENTITY_RESOLUTION_ALLOWLIST.

In der DB2-DataStore-Extension von GeoServer vor Version 2.27.0 kann ein Administrator über eine präparierte DB2-JDBC-URL einen JNDI-Angriff durchführen, der zu Remote Code Execution führt. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 2.27.0, dort ist das Problem behoben.

In GeoServer vor Version 2.26.4 bzw. 2.27.3 kann ein authentifizierter Administrator mit Zugriff auf das Security-System über die Master-Password-Dump-Webseite einen beliebigen Dateinamen übergeben und so eine Datei mit dem Master-Passwort im Klartext erzeugen. Der Dateiname muss ein absoluter Pfad zu einer noch nicht existierenden Datei sein, deren übergeordnete Verzeichnisse bereits vorhanden sind. Installationen, bei denen das Web-Interface deaktiviert oder entfernt ist, sind nicht betroffen, da die Schwachstelle in einer der Webseiten liegt. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 2.26.4 oder 2.27.3.

GeoServer kann bösartige Jiffle-Skripte ausführen, etwa als Rendering-Transformation in WMS-Dynamic-Styles oder als WPS-Prozess. Ein solches Skript kann laut Quelle in eine Endlosschleife geraten und dadurch einen Denial of Service auslösen. Die Schwachstelle ist behoben in den Versionen 2.27.0, 2.26.3 und 2.25.7. Empfohlene Massnahme: WMS-Dynamic-Styling und den Jiffle-Prozess deaktivieren, falls ein Update nicht sofort möglich ist. CVSS-Basiswert: 7.5 (Hoch).

GeoServer, ein quelloffener Java-Server zum Teilen und Bearbeiten von Geodaten, ist über den Demo-Request-Endpunkt für Server-Side Request Forgery (SSRF) anfällig, sofern die Proxy Base URL nicht konfiguriert ist. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf GeoServer 2.24.4 oder 2.25.2 aktualisieren, wodurch das betroffene Servlet TestWfsPost entfernt und die Schwachstelle behoben wird.

GeoServer, ein Open-Source-Server zum Teilen und Bearbeiten von Geodaten, erlaubt laut NVD vor den Versionen 2.23.5 und 2.24.3 bei Betrieb unter Windows mit Apache Tomcat die Umgehung der Eingabevalidierung in der GeoWebCache-Klasse ByteStreamController und das Lesen beliebiger Classpath-Ressourcen mit bestimmten Dateiendungen. Wird GeoServer zusätzlich als Web-Archiv mit im geoserver.war eingebettetem Datenverzeichnis betrieben, lassen sich dadurch vermutlich Administratorrechte erlangen; in produktiven Umgebungen mit externem Datenverzeichnis gilt dieses Szenario laut Quelle als unwahrscheinlich. CVSS-Basiswert: 7.5 (Hoch). Die Versionen 2.23.5 und 2.24.3 enthalten einen Patch; als Workarounds nennt die Quelle einen Wechsel von Windows auf Linux, von Apache Tomcat auf Jetty oder das Deaktivieren des anonymen Zugriffs auf die eingebetteten GeoWebCache-Verwaltungsseiten. Empfohlene Massnahme: Update auf Version 2.23.5 oder 2.24.3.

In GeoServer besteht vor den Versionen 2.23.4 und 2.24.1 eine Schwachstelle durch beliebigen Datei-Upload. Ein authentifizierter Administrator mit Berechtigung, Coverage Stores über die REST-Coverage-Store-API zu ändern, kann bei Stores mit absoluten Pfaden die dortige Pfadvalidierung umgehen (Path Traversal) und beliebige Dateiinhalte an beliebigen Speicherorten ablegen, was zu Remote Code Execution führen kann. Ein Administrator mit eingeschränkten Rechten könnte dies zudem nutzen, um GeoServer-Sicherheitsdateien zu überschreiben und volle Administratorrechte zu erlangen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 2.23.4 bzw. 2.24.1, die einen Fix für diese Schwachstelle enthalten.

GeoServer, ein Open-Source-Server für Geodaten, enthält in Version 2.23.4 und früher eine Path-Traversal-Schwachstelle. Sie erfordert, dass ein GeoServer-Administrator mit Zugriff auf die Admin-Konsole den Speicherort der Logdatei in den Global Settings falsch konfiguriert; die Logs-Seite der Admin-Konsole zeigt daraufhin eine Vorschau dieses Inhalts. Da die Ausnutzung Administratorzugriff voraussetzt, der oft eine vertrauenswürdige Partei betrifft, war zum Zeitpunkt der Veröffentlichung noch kein Patch verfügbar. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Als Workaround kann ein Systemadministrator über die Einstellung GEOSERVER_LOG_FILE jede über die Global-Settings-Seite vorgenommene Konfiguration überschreiben, gesetzt als Systemeigenschaft, Umgebungsvariable oder Servlet-Context-Parameter.

GeoServer ist ein quelloffener, in Java geschriebener Server zum Teilen und Bearbeiten von Geodaten. Die WMS-Spezifikation definiert einen sld=<url>- Parameter für dynamische Styles; ist dessen Nutzung ohne konfigurierte URL-Prüfungen aktiviert, entsteht die Möglichkeit einer Server-Side Request Forgery. Darüber lassen sich NetNTLMv2-Hashes von Benutzern stehlen, die extern weitergeleitet oder geknackt werden können, um weiteren Zugriff zu erlangen. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2.22.5 oder 2.23.2.

GeoServer ist ein quelloffener, in Java geschriebener Server zum Teilen und Bearbeiten von Geodaten. Die Spezifikation des OGC Web Processing Service (WPS) ist darauf ausgelegt, Informationen von beliebigen Servern über GET- und POST-Anfragen zu verarbeiten, was die Möglichkeit einer Server-Side Request Forgery eröffnet. Die Schwachstelle ist in den Versionen 2.22.5 und 2.23.2 behoben. CVSS-Basiswert: 8.6 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2.22.5 bzw. 2.23.2 oder neuer.

GeoNetwork ist eine Katalog-Anwendung zur Verwaltung georeferenzierter Ressourcen. In den Versionen 3.12.0 bis 4.2.16 sowie 4.4.11 validieren die Authentifizierungsfilter GeonetworkOAuth2LoginAuthenticationFilter sowie ein Keycloak-bezogener Authentication-Filter Redirect-Ziele laut Quelle nicht sicher. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Eine Ausnutzungswahrscheinlichkeit (EPSS) ist ebenfalls nicht angegeben.

In OSGeo GDAL bis Version 3.13.0dev-4 besteht eine Schwachstelle in der Funktion GDSDfldsrch der Datei frmts/hdf4/hdf-eos/GDapi.c der Komponente Grid File Handler. Eine Manipulation kann die betroffene Komponente beeintraechtigen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In OSGeo GDAL bis Version 3.13.0dev-4 wurde eine Schwachstelle in der Funktion SWSDfldsrch der Datei frmts/hdf4/hdf-eos/SWapi.c gefunden. Eine entsprechende Manipulation kann einen heap-basierten Speicherfehler auslösen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.