• ひとことでGeoServer で、細工した XML からサーバーのファイルを読まれる弱点
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることGeoServer を 2.26.3 や 2.27.0 以降にする

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2025-58360
製品OSGeo GeoServer
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-12-11
米国政府機関の対応期限2026-01-01
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-611（XML外部実体参照の制限の不備（XXE））

何が起きた

地図などの地理情報を共有するサーバーソフト GeoServer で、/geoserver/wms の GetMap という操作が受け取る XML の確認が不十分という弱点が見つかりました。攻撃者は XML の中に外部エンティティ（外のファイルなどを読み込む指定）を書き込めるため、XXE と呼ばれる攻撃ができます。ネットワーク経由で、ログインしていない攻撃者でも悪用でき、実際に悪用が確認されています。GeoServer の勧告によると、サーバー上の任意のファイルを読まれたり、サーバーを踏み台に内部のシステムへ通信されたり（SSRF）、サービスを止められたりするおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 外部エンティティを含む XML を作る → 2. /geoserver/wms の GetMap に送る → 3. サーバー上のファイルを読み出す1外部エンティティを含む XML を作る2/geoserver/wms の GetMap に送る3サーバー上のファイルを読み出す攻撃の流れ: 1. 外部エンティティを含む XML を作る → 2. /geoserver/wms の GetMap に送る → 3. サーバー上のファイルを読み出す1外部エンティティを含む XML を作る2/geoserver/wms の GetMap に送る3サーバー上のファイルを読み出す攻撃の流れ: 1. 外部エンティティを含む XML を作る → 2. /geoserver/wms の GetMap に送る → 3. サーバー上のファイルを読み出す1外部エンティティを含む XML を作る2/geoserver/wms の GetMap に送る3サーバー上のファイルを読み出す

誰が影響を受ける

GeoServer を使っている組織が対象です。NVD の説明では、2.26.0 から 2.26.2 より前のバージョンと、2.25.6 より前のバージョンが影響を受けるとされています。

何をすればいい

GeoServer の公式の案内を確認し、GeoServer 2.25.6、GeoServer 2.26.3、GeoServer 2.27.0 のいずれか以降に更新されているか確認してください。なお、GitHub の勧告の修正版の欄には 2.26.2 と 2.25.6 が書かれていますが、本文の案内では 2.26.3 への更新が勧められています。

やることチェックリスト

  • GeoServer を 2.26.3 や 2.27.0 以降にする
  • 2.25 系なら 2.25.6 以降に更新する
  • 更新後の GeoServer の版を確認する

用語メモ

XML 用語集で見る
データを、タグで囲んで決まった形で書き表すための書き方です。
XXE 用語集で見る
XML の外部エンティティという仕組みを悪用して、サーバー上のファイルを読ませたり、別のサーバーへ通信させたりする攻撃です。
SSRF 用語集で見る
サーバーをだまして、攻撃者の代わりに内部のシステムなどへ通信させる攻撃です。

次に読む

同じ製品・メーカーの脆弱性OSGeo GeoServer（CVE-2024-36401）9.8 緊急CVSS v3.1GeoServer で、ログインなしに細工した入力でプログラムを動かされる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

OSGeo GeoServer Improper Restriction of XML External Entity Reference Vulnerability

概要

OSGeo GeoServer contains an improper restriction of XML external entity reference vulnerability that occurs when the application accepts XML input through a specific endpoint /geoserver/wms operation GetMap and could allow an attacker to define external entities within the XML request.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る