La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) de EE.UU. añadió el lunes un fallo de seguridad crítico que afecta a OSGeo GeoServer GeoTools a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), basándose en pruebas de explotación activa.
GeoServer es un servidor de software de código abierto escrito en Java que permite a los usuarios compartir y editar datos geoespaciales. Es la implementación de referencia de los estándares Web Feature Service (WFS) y Web Coverage Service (WCS) del Open Geospatial Consortium (OGC).
La vulnerabilidad, rastreada como CVE-2024-36401 (puntuación CVSS: 9,8), se refiere a un caso de ejecución remota de código que podría desencadenarse a través de una entrada especialmente diseñada.
«Múltiples parámetros de solicitud OGC permiten la ejecución remota de código (RCE) por usuarios no autenticados a través de una entrada especialmente diseñada contra una instalación GeoServer por defecto debido a la evaluación insegura de nombres de propiedades como expresiones XPath», según un aviso publicado por los responsables del proyecto a principios de este mes.
El fallo se ha corregido en las versiones 2.23.6, 2.24.4 y 2.25.2. El investigador de seguridad Steve Ikeoka es el autor del fallo.
Actualmente no está claro cómo se está explotando la vulnerabilidad. GeoServer señaló que «se ha confirmado que el problema puede explotarse a través de las solicitudes WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic y WPS Execute».
También ha sido parcheado por los mantenedores otro fallo crítico (CVE-2024-36404, puntuación CVSS: 9,8) que también podría resultar en RCE «si una aplicación utiliza ciertas funcionalidades de GeoTools para evaluar expresiones XPath suministradas por la entrada del usuario.» Se ha resuelto en las versiones 29.6, 30.4 y 31.2.
En vista del abuso activo de CVE-2024-36401, las agencias federales deben aplicar las correcciones proporcionadas por los proveedores antes del 5 de agosto de 2024.
El desarrollo se produce cuando han surgido informes sobre la explotación activa de una vulnerabilidad de ejecución remota de código en el conjunto de herramientas de conversión de documentos Ghostscript (CVE-2024-29510) que podría aprovecharse para escapar de la caja de arena -dSAFER y ejecutar código arbitrario.
La vulnerabilidad, abordada en la versión 10.03.1 tras la revelación responsable por parte de Codean Labs el 14 de marzo de 2024, ha sido desde entonces utilizada como arma para obtener acceso shell a sistemas vulnerables, según el desarrollador de ReadMe Bill Mill.
Fuente: thehackernews