【已复现】GeoServer SQL注入漏洞(CVE-2023-25157)安全风险通告

原创 QAX CERT 奇安信 CERT 2023-06-09 19:01

● 
点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	GeoServer SQL注入漏洞
漏洞编号	QVD-2023-4979、CVE-2023-25157
公开时间	2023-02-21	影响对象数量级	万级
奇安信评级	高危	CVSS 3.1分数	8.1
威胁类型	代码执行	利用可能性	高
POC状态	已发现	在野利用状态	未发现
EXP状态	未发现	技术细节状态	未公开
危害描述：未经身份验证的攻击者可以利用该漏洞进行SQL注入，执行恶意代码。

（注：奇安信CERT的漏洞深度分析报告包含此漏洞的POC及技术细节，订阅方式见文末。）

01

漏洞详情

>
>
>
>

影响组件

GeoServer是一个用Java编写的开源服务器，它允许用户共享、处理和编辑地理空间数据。为了互操作性而设计，它使用开源标准发布来自任何主要空间数据源的数据。

>
>
>
>

漏洞描述

近日，奇安信CERT监测到GeoServer SQL注入漏洞(CVE-2023-25157)，由于系统未对用户输入进行过滤，远程未授权攻击者可以构造特定语句绕过GeoServer的词法解析，从而实现SQL注入，成功利用此漏洞可获取敏感信息，甚至可能获取数据库服务器权限。由于GeoServer在默认配置下内置图层存放数据在文件中，则未使用外置数据库的场景不受此漏洞影响。
鉴于该漏洞的POC已在互联网上公开，现实威胁上升，建议客户尽快做好自查及防护。

---

02

影响范围

>
>
>
>

影响版本

GeoServer 2.20.x < 2.20.7

GeoServer 2.19.x < 2.19.7

GeoServer 2.18.x < 2.18.7

GeoServer 2.21.x < 2.21.4

GeoServer 2.22.x < 2.22.2

>
>
>
>

不受影响版本

GeoServer 2.22.x >= 2.22.2

GeoServer 2.21.x >= 2.21.4

GeoServer 2.20.x >= 2.20.7

GeoServer 2.19.x >= 2.19.7

GeoServer 2.18.x >= 2.18.7

>
>
>
>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现
该漏洞
，截图如下：

04

处置建议

>
>
>
>

安全更新

目前官方已发布新版本修复了该漏洞，可下载最新版本进行升级。

https://github.com/geoserver/geoserver/releases

>
>
>
>

缓解措施

1. 禁用 PostGIS数据存储的encode函数。

2. 启用 PostGIS 数据存储的preparedStatements设置。

>
>
>
>

产品解决方案

奇安信网站应用安全云防护系统已更新防护特征库

奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对GeoServer SQL注入漏洞(CVE-2023-25157)的防护。

奇安信开源卫士已支持

奇安信开源卫士202300609. 289版本已支持对GeoServer SQL 注入漏洞(CVE-2023-25157)的检测。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：7772，建议用户尽快升级检测规则库至2306091700以上。

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.0609.13904或以上版本。规则ID及规则名称：0x10021684，GeoServer SQL 注入漏洞(CVE-2023-25157)。奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

05

参考资料

[1]https://github.com/advisories/GHSA-7g5f-wrx8-5ccf

06

时间线

2023年6月9日，奇安信 CERT发布安全风险通告。

07

深度分析报告

深度分析报告（含PoC和技术细节）已开通订阅，扫描图片
下方二维码申请：

奇安信 CERT

致力于
第一时间为企业级用户提供权威漏洞情报和有效
解决方案。

点击↓阅读原文，到NOX安全监测平台
查看更多漏洞信息。