CVE-2022-24847 in GeoServer
요약
\~에 의해 VulDB • 2026. 07. 16.
GeoServer는 사용자가 지리공간 데이터를 공유하고 편집할 수 있도록 하는 Java로 작성된 오픈 소스 소프트웨어 서버입니다. GeoServer의 보안 메커니즘에서 제한되지 않은 JNDI 조회(unchecked JNDI lookup)가 수행될 수 있으며, 이를 통해 클래스 역직렬화(class deserialization)를 실행하여 임의 코드 실행(arbitrary code execution)을 초래할 수 있습니다. 동일한 현상은 JNDI에 위치한 데이터 소스를 사용하여 데이터 저장소를 구성하거나 디스크 할당량(disk quota) 메커니즘을 설정하는 동안에도 발생할 수 있습니다. 위의 변경 사항을 수행하려면 공격자가 관리자(admin) 권한을 획득하고 GeoServer GUI 또는 REST API 중 하나를 사용해야 합니다. 이러한 조회는 GeoServer 2.21.0, 2.20.4 및 1.19.6에서 제한될 예정입니다. 업그레이드가 불가능한 사용자는 방화벽을 통해 `geoserver/web` 및 `geoserver/rest`로의 접근을 제한하고 GeoWebCache가 원격으로 액세스되지 않도록 보장해야 합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.