CVE-2022-24847 in GeoServer
要約
〜によって VulDB • 2026年06月22日
GeoServerは、Javaで書かれたオープンソースのソフトウェアサーバーであり、ユーザーが地理空間データを共有および編集することを可能にします。GeoServerのセキュリティメカニズムでは、チェックされていないJNDIルックアップを実行でき、これを利用してクラス直列化解除を行い、任意のコード実行を引き起こす可能性があります。同様の問題は、JNDIにあるデータソースを使用してデータストアを設定する場合や、ディスククォータメカニズムを設定する際にも発生します。上記の変更を行うには、攻撃者は管理者権限を取得し、GeoServer GUIまたはそのREST APIを使用する必要があります。これらのルックアップは、GeoServer 2.21.0、2.20.4、1.19.6で制限される予定です。アップグレードできないユーザーは、ファイアウォールを通じて `geoserver/web` および `geoserver/rest` へのアクセスを制限し、GeoWebCacheがリモートからアクセスできないことを確認する必要があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.