オープンソースGeoServerのCVE-2024-36401がリモートコード実行の危険に晒す

CVE-2024-36401は GeoServer の 2.25.2, 2.24.4, 2.23.6 より前のバージョンに影響します。この不具合は、複数の OGC リクエストパラメータにまたがる XPath 式としてのプロパティ名の安全でない評価に起因します。攻撃者はこの欠陥を悪用し、デフォルトの GeoServer インストールに細工した入力を注入することでRCE（リモートコード実行）を行うことができます。

 GitHub Security Advisoriesによると、この脆弱性のCVSS v3.1スコアは9.8（クリティカル）です。 

GeoServer は、フラットなデータセットから複雑なネストされたデータセットまで、さまざまな地理空間データ構造に対応できるよう、単純なフィーチャタイプと複雑なフィーチャタイプの両方をサポートしています。しかし、これらのデータ型にまたがる XPath 式の取り扱いに欠陥があるため、CVE-2024-36401 が悪用されてしまうのです。

単純なフィーチャタイプはフラットなフォーマットで単純な地理空間データを表し、データベースの各行は地理空間フィーチャに対応し、各属性は XML 要素に直接マッピングされる。 

例えば、id、name、locationのようなカラムを持つ企業を表すテーブルは、単純なXML機能に簡単に変換できる。

対照的に、複雑な特徴タイプはより複雑なデータを扱う。このフィーチャタイプは、ネストされたプロパティや異なるデータセット間のリレーションシップをサポートします。これらの複雑なスキーマは自動的に生成されるのではなく、GeoServer の Application Schema 拡張機能で概説されているように、コミュニティ標準を使用して定義されます。

例 

前のcompaniesテーブルの下に外部キーを追加します。 gu_id は、企業とそれに相当する地質単位との関係を表す：

地質単位の情報は、テーブル 地質単位:

これらのテーブルを使うことで、会社を sa:サンプリング会社を含む。 gsml:GeologicUnit.この設定は、自動的に生成されたスキーマではなく、コミュニティ仕様によって定義された入れ子の型と関係を含むため、複雑な機能を生み出す。

GeoServer は、（Application Schema データストアにあるような）複雑なフィーチャ タイプを処理するために XPath 評価を使用するように設計されています。しかし、不適切な処理のために、単純な特徴タイプにも XPath 評価を誤って適用してしまいます。これにより、攻撃ベクトルが作成されます：

1. GeoServer は、データ検索時にプロパティ名を評価するために GeoTools ライブラリに依存しています。
2. について 共通jxpath XPath式を処理するために使用されるライブラリは、適切な検証を欠いており、XPath式を処理する際に任意のコードを実行する可能性がある。
3. 攻撃者は、この安全でないXPathの実行を悪用した悪意のあるリクエストを作成し、サーバーを制御することができるため、この欠陥は、すべてのGeoServerインスタンスを潜在的なRCEの脆弱性にさらすことになります。

• A ポスト リクエストは GetPropertyValue オペレーションを実行する。その後、GeoServer はそのプロパティ（または 値参照)を指定する。  
• 要求されたプロパティがフィーチャタイプ詳細テーブルに存在する場合、GeoServer はそれを通常通り処理します。

標準関数だけでなく、JXPath は Java への橋渡しをする拡張関数もサポートしています。この「Javaへの橋渡し」は、例えばXPathクエリ内でJava関数を直接呼び出すことを可能にするため、非常に重要です：

GeoServer の WFS を使用すると、ユーザーは地理空間フィーチャをクエリし、操作することができます。通常の状態では、WFS GetPropertyValue 操作は、要求されたプロパティをXML構造で返すだけである。

1. 攻撃者は /geoserver/wfs に POST リクエストを送る。
2. GeoServer は一番外側の XML タグを調べます。wfs:GetPropertyValue-。で、どの操作を実行するかを決定する。
3. GeoServer は次に、リクエストパラメータを WFS クラスの対応するメソッドに委譲します。このシナリオでは、Dispatcher はリクエストを GetPropertyValue メソッドを使用する。

この悪用を実際のシナリオでシミュレートするため、OPSWAT 大学院生が GeoServer をローカルの Windows マシンに導入しました。GeoServer にアクセスすると、以下のようなインターフェイスが表示された。

特にGeoServerのようなオープンソースソフトウェアに依存しているプロジェクトでは、単純なエクスプロイトがソフトウェアサプライチェーン攻撃にエスカレートする可能性があります。OPSWAT SBOM（Software 部品表）技術は、コードベース内のCVE-2024-36401のような脆弱性を特定するのに役立ちます。

この例は、OPSWAT SBOMがどのように機能するかを示している：

1. 脆弱性の影響を受けるソフトウェアコンポーネントを検出する。
2. セキュリティ上の欠陥の重大性を評価し、ランク付けする。ここでは、GeoServer の CVE に「Critical」のフラグを付けている。
3. 影響を受けるバージョンを特定する。
4. 開発チームが迅速にパッチを適用したり、修正措置を講じたりできるように、修正バージョンを推奨する。