BDU:2025-10404

Уязвимость веб-сервиса GeoServer Web Feature Service (WFS) программного обеспечения для администрирования и публикации геоданных на сервере OSGeo GeoServer, позволяющая нарушителю раскрыть защищаемую информацию

Опубликовано: 2025-08-29

Описание

Уязвимость веб-сервиса GeoServer Web Feature Service (WFS) программного обеспечения для администрирования и публикации геоданных на сервере OSGeo GeoServer связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Затрагиваемое ПО и версии

GeoTools (от 33.0 до 33.1)GeoTools (от 32.0 до 32.3)GeoTools (до 28.6.1)GeoTools (от 29.0 до 31.7)GeoServer (от 2.27.0 до 2.27.1)GeoServer (от 2.26.0 до 2.26.3)GeoServer (до 2.25.7)

Способ устранения

Использование рекомендаций:
https://github.com/geoserver/geoserver/security/advisories/GHSA-jj54-8f66-c5pc
https://github.com/geotools/geotools/security/advisories/GHSA-826p-4gcg-35vw

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://docs.geoserver.org/latest/en/user/production/config.html#production-config-external-entities https://github.com/geonetwork/core-geonetwork/pull/8757 https://github.com/geonetwork/core-geonetwork/pull/8803 https://github.com/geonetwork/core-geonetwork/pull/8812 https://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-2p76-gc46-5fvc https://github.com/geoserver/geoserver/security/advisories/GHSA-jj54-8f66-c5pc https://github.com/geotools/geotools/security/advisories/GHSA-826p-4gcg-35vw

Проверьте безопасность своего сайта и почты → Полная проверка домена