Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GeoServer a GeoTools opravují 2 zranitelnosti
GeoServer a GeoTools opravují 2 zranitelnosti. Oprava se nachází ve verzích 2.23.6, 2.24.4 a 2.25.2 pro GeoServer a ve verzích 31.2, 30.4 a 29.6 pro GeoTools [1][2].
Neautentizovanému vzdálenému útočníkovi je v GeoServer umožněno neoprávněně spouštět kód zasíláním speciálně vytvořených OGC požadavků. Zranitelnost je zneužitelná pouze v případě, že aplikace využívá funkcionalitu z "gt-complex", tedy jako dočasnou opravu je možné smazat soubor "gt-complex-x.y.jar", což ale může ovlivnit celkovou funkcionalitu produktu. Více informací k dočasné opravě je možné nalézt na [1].
Zranitelnost se nachází v produktu:
- GeoServer; >= 2.24.0, < 2.24.4; >= 2.25.0, < 2.25.2; < 2.23.6;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-36401 na cve.org, NVD
- CWE-95 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 1. 7. 2024.
Neautentizovanému vzdálenému útočníkovi je v GeoTools umožněno neoprávněně spouštět kód. Zranitelnost je zneužitelná pouze v případě, že aplikace využívá funkcionalitu z "gt-complex", tedy jako dočasnou opravu je možné smazat soubor "gt-complex-x.y.jar", což ale může ovlivnit celkovou funkcionalitu produktu [2]. Více informací k dočasné opravě a PoC je možné nalézt na [2].
Zranitelnost se nachází v produktu:
- GeoTools; >= 30.0, < 30.4; >= 31.0, < 31.2; < 29.6;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-36404 na cve.org, NVD
- CWE-95 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 2. 7. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 9. 7. 2024.