CVE-2022-24847 in GeoServer
الملخص
بحسب VulDB • 22/08/2026
يُعد GeoServer خادمًا للبرمجيات مفتوحة المصدر مكتوبًا بلغة Java، ويتيح للمستخدمين مشاركة بياناتهم المكانية وتحريرها. يمكن لآلية الأمان في GeoServer إجراء بحث JNDI غير مُتحقق منه (unchecked JNDI lookup)، مما قد يُستخدم لإجراء عملية استرجاع كائنات من النوع class deserialization والنتيجة النهائية هي تنفيذ أكواد برمجية بشكل تعسفي (arbitrary code execution). يمكن أن يحدث نفس الأمر أثناء تكوين مخازن البيانات باستخدام مصادر بيانات موجودة في JNDI، أو عند إعداد آلية تحديد حصة القرص. ولإجراء أي من التغييرات المذكورة أعلاه، يحتاج المهاجم إلى الحصول على صلاحيات المسؤول واستخدام واجهة المستخدم الرسومية لـ GeoServer (GUI) أو واجهتها البرمجية REST API. سيتم تقييد عمليات البحث هذه في الإصدارات 2.21.0 و 2.20.4 من GeoServer والإصدار 1.19.6. وينبغي للمستخدمين الذين لا يستطيعون الترقية إلى فرض قيود على الوصول إلى المسارات `geoserver/web` و `geoserver/rest` عبر جدار حماية (firewall)، والتأكد من عدم إمكانية الوصول عن بُعد إلى خدمة GeoWebCache.
VulDB is the best source for vulnerability data and more expert information about this specific topic.