Geoserver XPath表达式注入致远程代码实行毛病复现(CVE-2024-36401)

0x01 产品简介

GeoServer是一个开源服务器，用于共享、处理惩罚和编辑地理空间数据。它支持多种地图和数据尺度，使用户能够通过网络访问和操作地理信息系统（GIS）数据。
0x02 毛病概述

2024年7月，互联网上披露Geoserver表达式注入致远程代码实行毛病（CVE-2024-36401），攻击者无需认证即可使用该毛病获取服务器权限，建议受影响的客户尽快修复毛病。
毛病成因
该系统不安全地将属性名称剖析为 XPath 表达式。GeoServer 调用的 GeoTools 库 API 以不安全的方式将要素范例的属性名称传递给 commons-jxpath 库。该库在剖析 XPath 表达式时，可以实行恣意代码。这种 XPath 评估本应仅供复杂要素范例（例如应用步调架构数据存储）使用，但由于错误，该机制也被应用于简朴要素范例。这使得所有 GeoServer 实例都大概受到该毛病的影响。
毛病影响
此毛病大概导致远程代码实行 (RCE)。未经身份验证的用户可以通过向默认的 GeoServer 安装发送特制的输入，使用多个 OGC 请求参数，如 WFS GetFeature、WFS GetPropertyValue、WMS GetMap、WMS GetFeatureInfo、WMS GetLegendGraphic 和 WPS Execute 请求，从而实行恣意代码。这种远程代码实行将导致系统被完全控制，严重威胁系统安全，大概造成数据泄漏、打单或更广泛的网络攻击。
0x03 影响范围

2.25.0 <= GeoServer < 2.25.2
2.24.0 <= GeoServer < 2.24.4
Geo