GeoServer tiene una validación de URI IMPROPIA ENTITY_RESOLUTION_ALLOWLIST en el procesamiento de XML (SSRF)

Un atacante que explote esta vulnerabilidad puede realizar solicitudes HTTP arbitrarias desde el servidor GeoServer, actuando como si provinieran de la propia aplicación. Esto permite el escaneo de la red interna, la identificación de servicios y la posible exfiltración de datos sensibles. La capacidad de realizar ataques XEE también abre la puerta a la lectura de archivos .xsd limitados en el sistema. La falta de una validación adecuada de las URIs permite a los atacantes eludir las protecciones implementadas por PreventLocalEntityResolver, lo que amplía significativamente el alcance del ataque. Esta vulnerabilidad comparte similitudes con otros ataques SSRF que han afectado a aplicaciones web, donde la falta de validación de entrada permite a los atacantes acceder a recursos no autorizados.

Organizations deploying GeoServer for geospatial data serving and web mapping are at risk. This includes government agencies, research institutions, and commercial enterprises relying on GeoServer for their GIS applications. Specifically, deployments utilizing older versions of GeoServer (prior to 2.25.0) and those with less stringent network security controls are particularly vulnerable.

• java / server: Monitor GeoServer logs for unusual outbound HTTP requests, especially those originating from internal IP addresses or containing suspicious URIs.

grep -i "uri=" /path/to/geoserver/logs/geoserver.log

• generic web: Use curl or wget to test for SSRF by attempting to access internal resources through GeoServer.

curl http://localhost:8080/geoserver/your_service?xml=file:///etc/passwd

• wordpress / composer / npm: N/A - This vulnerability is not specific to WordPress, Composer, or npm. • database (mysql, redis, mongodb, postgresql): N/A - This vulnerability is not specific to databases. • windows / supply-chain: N/A - This vulnerability is not specific to Windows or supply chains.

1. 2025-06-10Disclosure

   disclosure

1. Reservado2024-05-07
2. Publicada2025-06-10
3. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-34711 es actualizar GeoServer a la versión 2.25.0 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar reglas en un Web Application Firewall (WAF) o proxy para bloquear solicitudes HTTP que contengan URIs sospechosas. Además, se pueden configurar restricciones de red para limitar el acceso del servidor GeoServer a recursos externos innecesarios. Es crucial revisar la configuración de GeoServer para asegurar que solo se permitan las conexiones necesarias y que se apliquen las políticas de seguridad más restrictivas posibles. Después de la actualización, confirme la mitigación verificando que las solicitudes HTTP a recursos internos sean bloqueadas o redirigidas.