最近の脆弱性 › CVE-2025-58360
OSGeo GeoServer のXXEの脆弱性（CVE-2025-58360）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2025-58360 |
|---|---|
| 製品 | OSGeo GeoServer |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-12-11 |
| 米国政府機関の対応期限 | 2026-01-01 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-611 |
何が起きた
地図などの地理情報を共有するサーバーソフト GeoServer で、/geoserver/wms の GetMap という操作が受け取る XML の確認が不十分という弱点が見つかりました。攻撃者は XML の中に外部エンティティ（外のファイルなどを読み込む指定）を書き込めるため、XXE と呼ばれる攻撃ができます。ネットワーク経由で、ログインしていない攻撃者でも悪用でき、実際に悪用が確認されています。GeoServer の勧告によると、サーバー上の任意のファイルを読まれたり、サーバーを踏み台に内部のシステムへ通信されたり（SSRF）、サービスを止められたりするおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
GeoServer を使っている組織が対象です。NVD の説明では、2.26.0 から 2.26.2 より前のバージョンと、2.25.6 より前のバージョンが影響を受けるとされています。
何をすればいい
GeoServer の公式の案内を確認し、GeoServer 2.25.6、GeoServer 2.26.3、GeoServer 2.27.0 のいずれか以降に更新されているか確認してください。なお、GitHub の勧告の修正版の欄には 2.26.2 と 2.25.6 が書かれていますが、本文の案内では 2.26.3 への更新が勧められています。
やることチェックリスト
- GeoServer を 2.26.3 や 2.27.0 以降にする
- 2.25 系なら 2.25.6 以降に更新する
- 更新後の GeoServer の版を確認する
用語メモ
- XML
- データを、タグで囲んで決まった形で書き表すための書き方です。
- XXE
- XML の外部エンティティという仕組みを悪用して、サーバー上のファイルを読ませたり、別のサーバーへ通信させたりする攻撃です。
- SSRF
- サーバーをだまして、攻撃者の代わりに内部のシステムなどへ通信させる攻撃です。
元データ（英語・CISA KEV より）
OSGeo GeoServer Improper Restriction of XML External Entity Reference Vulnerability
概要
OSGeo GeoServer contains an improper restriction of XML external entity reference vulnerability that occurs when the application accepts XML input through a specific endpoint /geoserver/wms operation GetMap and could allow an attacker to define external entities within the XML request.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.