OSGeo GeoServer の脆弱性（CVE-2024-36401）

何が起きた

地図などの地理データを共有するサーバー GeoServer で、データの項目名を XPath という式として安全でない形で評価してしまう弱点が見つかりました。GeoServer が使う部品 GeoTools の問題で、細工した入力を送られると、任意の（攻撃者が好きに選べる）プログラムを実行されるおそれがあります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

GeoServer を使っている組織が対象で、NVD の説明では、すべての GeoServer が影響を受けるとされています。影響を受けるのは 2.22.6、2.23.6、2.24.4、2.25.2 より前の版です。WFS GetFeature、WMS GetMap、WPS Execute などの要求を通じて悪用できることが確認されています。

何をすればいい

GeoServer を、使っている系列に合わせて 2.22.6、2.23.6、2.24.4、2.25.2 以降に更新されているか確認してください。すぐに更新できない場合の回避策として、GeoServer から gt-complex-x.y.jar というファイルを取り除く方法がありますが、一部の機能が動かなくなったり、GeoServer が起動しなくなったりすることがあります。GeoServer の公式の案内を確認し、対策ができない場合は使用の中止も検討してください。

やることチェックリスト

• GeoServer を 2.25.2 など修正版に更新する
• 更新できなければ gt-complex の jar を取り除く
• jar を取り除いた後の動作を確かめる

用語メモ

XPath

XML などのデータの中から、特定の部分を指し示して取り出すための式の書き方です。

回避策

修正版に更新できないときに、一時的に被害を防ぐための設定や操作です。

jar

Java のプログラムの部品をひとまとめにしたファイルの形式です。