GeoServer 远程代码执行漏洞（CVE-2022-24816）

原创 SXdysq 南街老友 2024-07-06 16:15

漏洞简介

GeoServer 是一个用于共享地理空间数据的开源服务器。服务器实现行业标准 OGC 协议，例如 Web 要素服务 （WFS）、Web 地图服务 （WMS） 和 Web 覆盖服务 （WCS）。 

GeoServer 附带了 JAI-EXT API 。默认情况下，此 API 处于启用状态，并提供一组用于图像处理的高级对象。JAI-EXT 是一个开源项目，旨在扩展 Java 高级成像 （JAI） API。允许通过网络请求提供 Jiffle 脚本的程序可能会导致远程代码执行，因为 Jiffle 脚本通过 Janino 编译成 Java 代码并执行。
网络测绘

FOFA：app="GeoServer"

环境搭建

$ docker run -p 8085:8080 kartoza/geoserver:2.17.2

漏洞检测与利用

CVE-2024-36401内存马利用

详情参考GeoServer property RCE注入内存马

🍻🍻🍻🍻🍻🍻

勇敢追梦：
“别害怕追求梦想，因为追求梦想的过程本身就是一种成就。”

坚持不懈：
“成功的秘诀在于坚持，不放弃任何一个可能的机会。”

自信与自爱：
“学会爱自己，是一生浪漫的开始。自信是你最好的装饰。”

面对挑战：
“每一个不曾起舞的日子，都是对生命的辜负。勇敢面对挑战，才能找到真正的自己。”

积极心态：
“阳光总在风雨后，无论经历多少困境，保持积极的心态，总会迎来新的曙光。”

时间与成长：
“不要浪费时间去等待完美的机会，抓住眼前的每一个机会，你会发现时间能带给你无尽的成长。”

乐观与希望：
“即使前方荆棘满布，也要相信光明就在不远处。保持乐观，总会找到属于自己的出路。”

坚持梦想：
“梦想不是遥不可及的星辰，而是脚踏实地的每一步积累。只要坚持，总有一天会实现。”