Classpath resource disclosure in GWC Web Resource API on Windows / Tomcat

De impact van CVE-2024-24749 is significant, vooral in omgevingen waar GeoServer op Windows draait met Apache Tomcat en de data directory is ingebed in het geoserver.war bestand. Een succesvolle exploitatie kan een aanvaller in staat stellen om gevoelige informatie uit de classpath resources te extraheren, zoals configuratiebestanden, credentials of andere interne data. In het ergste geval kan dit leiden tot het verkrijgen van administrator privileges, waardoor de aanvaller volledige controle over de GeoServer-installatie kan uitoefenen en mogelijk toegang kan krijgen tot onderliggende systemen. De mogelijkheid om resources te lezen die administrator privileges vereisen, verhoogt de ernst van deze kwetsbaarheid aanzienlijk. Dit is vergelijkbaar met scenario's waarin gevoelige data wordt blootgesteld door onjuiste configuratie van webapplicaties.

Organizations deploying GeoServer on Windows with Apache Tomcat, particularly those using embedded data directories, are at the highest risk. Legacy GeoServer installations and environments with limited security monitoring are also vulnerable. Shared hosting environments where GeoServer is deployed alongside other applications should be carefully assessed.

• linux / server:

find /opt/geoserver/ -name '*.class' -exec grep -i 'ByteStreamController' {} + | grep -i 'readfile' 

• java / server: Examine GeoServer logs for unusual file access attempts, especially those targeting classpath resources. Look for patterns indicating attempts to read files outside of expected directories. • generic web: Use curl or wget to probe GeoServer endpoints and observe responses for unexpected file content or error messages related to file access.

1. 2024-07-01Disclosure

   disclosure

1. Gereserveerd2024-01-29
2. Gepubliceerd2024-07-01
3. Gewijzigd2025-11-04
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-24749 is het upgraden van GeoServer naar versie 2.23.5 of hoger. Dit omvat het vervangen van de bestaande geoserver.war file door de nieuwe versie. Indien een upgrade direct niet mogelijk is, overweeg dan om de data directory buiten het geoserver.war bestand te plaatsen. Dit voorkomt dat de classpath resources direct toegankelijk zijn. Daarnaast kan het implementeren van een Web Application Firewall (WAF) helpen om verdachte verzoeken te blokkeren die proberen toegang te krijgen tot de ByteStreamController. Controleer de GeoServer logs op ongebruikelijke activiteit en implementeer detectie signatures (YARA/Sigma) om pogingen tot exploitatie te identificeren. Na de upgrade, bevestig de correcte werking van GeoServer en controleer de logs op eventuele fouten.