BDU:2026-08880

Опубликовано: 02 сент. 2025

Источник: fstec

CVSS3: 7.2

CVSS2: 9

EPSS Низкий

Описание

Уязвимость метода writeMasterPasswordInfo() программного обеспечения для администрирования и публикации геоданных на сервере OSGeo GeoServer связана с некорректным внешним управлением именем или путем файла. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код, раскрыть защищаемую информацию и вызвать отказ в обслуживании

Вендор

Open Source Geospatial Foundation (OSGeo)

Наименование ПО

GeoServer

Версия ПО

от 2.27.0 до 2.27.3 (GeoServer)

до 2.26.4 (GeoServer)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,2)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://github.com/geoserver/geoserver/security/advisories/GHSA-7qmg-grcp-qf25

Компенсирующие меры:

- минимизация пользовательских привилегий;

- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика и блокирования вредоносных POST-запросов к компоненту /geoserver/web/wicket/page;

- отключение или удаление веб-интерфейса GeoServer, если он не требуется для эксплуатации системы;

- использование SIEM-систем для отслеживания событий, связанных с обращением к функциям резервного копирования и выгрузки мастер-пароля;

- использование виртуальных частных сетей для организации удаленного доступа (VPN) к интерфейсу администрирования;

- ограничение доступа к веб-панели управления из внешних сетей (Интернет).

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 28%

0.00353

Низкий

7.2 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2025-52465

CVSS3: 7.2

nvd

около 1 месяца назад

GeoServer is an open source server that allows users to share and edit geospatial data. Prior to versions 2.26.4 and 2.27.3, a vulnerability exists that allows an authenticated administrator with access to GeoServer's security system to pass arbitrary file names to the Master Password Dump web page and create files containing the master password in plaintext. The provided file name must be an absolute path to the target file, the target file can not already exist and all parent directories must already exist. Versions 2.26.4 and 2.27.3 contain a fix. GeoServer installations where the web interface is either disabled or completely removed are not affected since the vulnerability exists in one of the web pages.

GHSA-7qmg-grcp-qf25

CVSS3: 7.2

github

около 2 месяцев назад

GeoServer has an arbitrary file write vulnerability in its Master Password Dump Page

EPSS

Процентиль: 28%

0.00353

Низкий

7.2 High

CVSS3

9 Critical

CVSS2