GWC Web Resource API 在 Windows / Tomcat 上的类路径资源泄露

该漏洞允许攻击者读取 GeoServer classpath 中的任意资源。如果 GeoServer 部署为 Web 归档文件（geoserver.war），并且数据目录嵌入在 WAR 文件中，攻击者更有可能读取特定资源以获得管理员权限。攻击者可以利用此漏洞访问敏感信息，例如配置文件、密钥和数据库凭据。如果成功利用，攻击者可以完全控制受影响的 GeoServer 实例，并可能导致数据泄露、服务中断或恶意代码执行。由于 GeoServer 广泛应用于地理空间数据管理，因此该漏洞的影响范围可能非常广泛。

Organizations deploying GeoServer on Windows with Apache Tomcat, particularly those using embedded data directories, are at the highest risk. Legacy GeoServer installations and environments with limited security monitoring are also vulnerable. Shared hosting environments where GeoServer is deployed alongside other applications should be carefully assessed.

• linux / server:

find /opt/geoserver/ -name '*.class' -exec grep -i 'ByteStreamController' {} + | grep -i 'readfile' 

• java / server: Examine GeoServer logs for unusual file access attempts, especially those targeting classpath resources. Look for patterns indicating attempts to read files outside of expected directories. • generic web: Use curl or wget to probe GeoServer endpoints and observe responses for unexpected file content or error messages related to file access.

1. 2024-07-01Disclosure

   disclosure

1. 已保留2024-01-29
2. 发布日期2024-07-01
3. 修改日期2025-11-04
4. EPSS 更新日期2026-04-02

最有效的缓解措施是升级至 GeoServer 2.23.5 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，确保 GeoServer 不部署为嵌入式数据目录的 WAR 文件。将数据目录配置为外部目录，以限制攻击者访问敏感资源的范围。其次，实施严格的访问控制策略，限制对 GeoServer 的访问。最后，监控 GeoServer 日志，查找任何可疑活动，例如尝试访问 classpath 资源的异常请求。