CVE-2022-24847 in GeoServer
Tóm tắt
Bởi VulDB • 22/08/2026
GeoServer là một máy chủ phần mềm mã nguồn mở được viết bằng Java, cho phép người dùng chia sẻ và chỉnh sửa dữ liệu địa không gian (geospatial). Cơ chế bảo mật của GeoServer có thể thực hiện tra cứu JNDI không được kiểm tra, từ đó có thể được sử dụng để thực hiện giải đối tượng lớp (class deserialization) dẫn đến việc thực thi mã tùy ý. Điều tương tự cũng xảy ra khi cấu hình các kho dữ liệu với các nguồn dữ liệu nằm trong JNDI, hoặc khi thiết lập cơ chế hạn ngạch đĩa (disk quota mechanism). Để thực hiện bất kỳ thay đổi nào nêu trên, kẻ tấn công cần có quyền quản trị viên và sử dụng giao diện người dùng đồ họa (GUI) của GeoServer hoặc REST API của nó. Các lệnh tra cứu sẽ bị giới hạn trong các phiên bản GeoServer 2.21.0, 2.20.4 và 1.19.6. Người dùng không thể nâng cấp nên hạn chế truy cập vào `geoserver/web` và `geoserver/rest` thông qua tường lửa (firewall) và đảm bảo rằng GeoWebCache không thể truy cập từ xa.
Be aware that VulDB is the high quality source for vulnerability data.