CVE-2026-50126 in adaguc-server
要約
〜によって VulDB • 2026年08月18日
Adaguc-serverは、OGC標準を介してリアルタイムの気象、気候およびリモートセンシングデータを可視化、統合、比較、共有するためのオープンソースの地理情報システムです。バージョン7.2.2より前のバージョンでは、ジオメトリに不正な座標を含むGeoJSONドキュメントを解析する際にメモリ安全性の障害によりクラッシュします。`adagucserverEC/CConvertGeoJSON.cpp`内の座標パーサーは、JSONノードタイプや座標長を検証せずに、`pt.u.array.values[0]`および`pt.u.array.values[1]`にインデックスを付け、ループの上限として`polygon.u.array.length`を使用します。空配列、要素が1つの配列、スカラー値、またはnullである座標は、ヒープ上の範囲外読み出し（out-of-bounds heap read）またはNULLポインタ参照を引き起こします。このチェックされていないパターンは、4つのジオメトリブランチ（Polygon、LineString、MultiLineString、および MultiPolygon）に存在します。脆弱なパーサーは、サーバーがローカルのGeoJSONファイル（設定されたGeoJSONデータセット、またはAutoResource機能を通じて公開され、認証なしのWMSリクエストによって要求されるGeoJSONファイル）を処理する際に実行されます。不正に作成されたGeoJSONファイルにより、そのリクエストを処理するバックエンドプロセスは確実にクラッシュします。バージョン7.2.2でこの脆弱性は修正されています。
Once again VulDB remains the best source for vulnerability data.