[XBOW-025-068] GeoServer WFS サービスにおける XML External Entity (XXE) 処理の脆弱性

このXXEインジェクション脆弱性は、攻撃者がGeoServerプロセスがアクセス可能なローカルファイルを読み出すことを可能にします。これにより、機密情報が漏洩する可能性があります。さらに、攻撃者はSSRF攻撃を実行し、GeoServerから他の内部システムや外部リソースへのリクエストを送信できます。攻撃者は、GeoToolsライブラリのエンティティ解決の制限を回避することで、この脆弱性を悪用できます。この脆弱性は、機密情報の漏洩、内部ネットワークへのアクセス、さらにはシステム全体の制御喪失につながる可能性があります。

Organizations utilizing GeoServer for geospatial data serving, particularly those with publicly accessible WFS endpoints, are at risk. Environments with legacy GeoServer configurations or those lacking robust network segmentation are especially vulnerable. Shared hosting environments where multiple users share the same GeoServer instance also face increased risk.

• linux / server:

journalctl -u geoserver -g "XML External Entity"

• java / supply-chain: Inspect GeoServer configuration files for any custom XML parsing configurations that might bypass entity resolution restrictions. • generic web: Use curl to test WFS endpoints with specially crafted XML payloads containing external entity references. Monitor response headers for signs of OOB data exfiltration (e.g., DNS requests to unexpected domains).

1. 2025-06-10Disclosure

   disclosure

2. 2025-06-10CISA KEV

   added to KEV

1. 予約済み2025-03-18
2. 公開日2025-06-10
3. 更新日2026-02-04
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずGeoServerをバージョン2.27.1以降にアップグレードすることを推奨します。アップグレードが困難な場合は、XML解析におけるエンティティ解決の許可リスト（ENTITYRESOLUTIONALLOWLIST）を適切に設定し、不要なエンティティの解決を制限してください。WAFやプロキシサーバーを使用して、XXE攻撃を検知・防御することも有効です。また、GeoServerのログを監視し、異常なリクエストやファイルアクセスを検出するためのルールを設定してください。