CVE-2023-25157

SQL Injection w GeoServer poprzez filtry OGC/CQL (WFS, WMS, WCS)

CVSS 9.8v3.1pub. 2023-02-21upd. 2024-11-21

GeoServer jest podatny na SQL injection poprzez niewłaściwe przetwarzanie wyrażeń filtrów OGC i języka CQL w protokołach WFS, WMS oraz WCS. Podatność ma krytyczny poziom zagrożenia (CVSS 9.8) i umożliwia nieuautoryzowanemu atakującemu pełne naruszenie poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

GeoServer is an open source software server written in Java that allows users to share and edit geospatial data. GeoServer includes support for the OGC Filter expression language and the OGC Common Query Language (CQL) as part of the Web Feature Service (WFS) and Web Map Service (WMS) protocols. CQL is also supported through the Web Coverage Service (WCS) protocol for ImageMosaic coverages. Users are advised to upgrade to either version 2.21.4, or version 2.22.2 to resolve this issue. Users unable to upgrade should disable the PostGIS Datastore *encode functions* setting to mitigate ``strEndsWith``, ``strStartsWith`` and ``PropertyIsLike `` misuse and enable the PostGIS DataStore *preparedStatements* setting to mitigate the ``FeatureId`` misuse.

🤖 Analiza AI

Jak działa

GeoServer obsługuje język filtrów OGC oraz Common Query Language (CQL) w ramach protokołów Web Feature Service (WFS), Web Map Service (WMS) i Web Coverage Service (WCS) dla pokryć ImageMosaic. Podatność wynika z nieprawidłowego kodowania wartości przekazywanych do zapytań SQL przez funkcje takie jak `strEndsWith`, `strStartsWith`, `PropertyIsLike` oraz `FeatureId`. Złośliwie spreparowane wyrażenia filtrów mogą zostać wstrzyknięte jako fragmenty kodu SQL wykonywanego przez silnik bazy danych PostGIS, bez konieczności uwierzytelniania.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie, modyfikować lub usuwać dane, a w zależności od konfiguracji bazy danych potencjalnie wykonywać operacje o szerokim zasięgu na serwerze.

Mitygacja

Należy zaktualizować GeoServer do wersji 2.21.4 lub 2.22.2. Jeśli aktualizacja nie jest możliwa, należy wyłączyć opcję *encode functions* w PostGIS Datastore (mitygacja dla `strEndsWith`, `strStartsWith`, `PropertyIsLike`) oraz włączyć opcję *preparedStatements* w PostGIS Datastore (mitygacja dla `FeatureId`).

Kogo dotyczy

GeoServer w wersjach wcześniejszych niż 2.21.4 oraz wcześniejszych niż 2.22.2, korzystający z PostGIS Datastore

Uwagi

Producent wskazał konkretne obejścia (workaroundy) dla organizacji, które nie mogą natychmiast zastosować aktualizacji — wyłączenie *encode functions* i włączenie *preparedStatements* w PostGIS Datastore.