Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-02030

Опубликовано: 21 фев. 2023
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Критический

Описание

Уязвимость программного обеспечения для администрирования и публикации геоданных на сервере OSGeo GeoServer связана с непринятием мер по нейтрализации специальных элементов, используемых в SQL-запросах. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный SQL-код путем отправки специально созданного запроса

Вендор

Open Source Geospatial Foundation (OSGeo)

Наименование ПО

GeoServer

Версия ПО

до 2.18.7 (GeoServer)
от 2.19.0 до 2.19.7 (GeoServer)
от 2.20.0 до 2.20.7 (GeoServer)
от 2.21.0 до 2.21.4 (GeoServer)
от 2.21.4 до 2.22.2 (GeoServer)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
https://github.com/geoserver/geoserver/security/advisories/GHSA-7g5f-wrx8-5ccf

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 100%
0.93866
Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
nvd
почти 3 года назад

GeoServer is an open source software server written in Java that allows users to share and edit geospatial data. GeoServer includes support for the OGC Filter expression language and the OGC Common Query Language (CQL) as part of the Web Feature Service (WFS) and Web Map Service (WMS) protocols. CQL is also supported through the Web Coverage Service (WCS) protocol for ImageMosaic coverages. Users are advised to upgrade to either version 2.21.4, or version 2.22.2 to resolve this issue. Users unable to upgrade should disable the PostGIS Datastore *encode functions* setting to mitigate ``strEndsWith``, ``strStartsWith`` and ``PropertyIsLike `` misuse and enable the PostGIS DataStore *preparedStatements* setting to mitigate the ``FeatureId`` misuse.

CVSS3: 9.8
github
почти 3 года назад

GeoServer OGC Filter SQL Injection Vulnerabilities

EPSS

Процентиль: 100%
0.93866
Критический

9.8 Critical

CVSS3

10 Critical

CVSS2