[XBOW-025-068] GeoServer WFS 服务中 XML 外部实体 (XXE) 处理漏洞

该 XXE 注入漏洞允许攻击者通过解析外部实体来访问 GeoServer 进程可访问的本地文件。攻击者可以利用此漏洞泄露敏感信息，例如配置文件、数据库凭证或其他存储在服务器上的数据。此外，攻击者还可以利用此漏洞执行服务端请求伪造 (SSRF) 攻击，通过 GeoServer 服务器访问内部网络资源或外部服务。这种攻击模式类似于其他 XXE 漏洞的利用方式，可能导致严重的安全风险。

Organizations utilizing GeoServer for geospatial data serving, particularly those with publicly accessible WFS endpoints, are at risk. Environments with legacy GeoServer configurations or those lacking robust network segmentation are especially vulnerable. Shared hosting environments where multiple users share the same GeoServer instance also face increased risk.

• linux / server:

journalctl -u geoserver -g "XML External Entity"

• java / supply-chain: Inspect GeoServer configuration files for any custom XML parsing configurations that might bypass entity resolution restrictions. • generic web: Use curl to test WFS endpoints with specially crafted XML payloads containing external entity references. Monitor response headers for signs of OOB data exfiltration (e.g., DNS requests to unexpected domains).

1. 2025-06-10Disclosure

   disclosure

2. 2025-06-10CISA KEV

   added to KEV

1. 已保留2025-03-18
2. 发布日期2025-06-10
3. 修改日期2026-02-04
4. EPSS 更新日期2026-03-23

修复此漏洞的首要措施是升级 GeoServer 至 2.27.1 或更高版本。如果无法立即升级，可以考虑以下缓解措施：首先，确保 GeoServer 的 ENTITYRESOLUTIONALLOWLIST 属性已正确配置，以限制 XML 解析器可以访问的实体。其次，可以部署 Web 应用防火墙 (WAF) 或代理服务器，以过滤包含恶意 XML 负载的请求。最后，监控 GeoServer 日志，查找任何异常活动或可疑请求，例如尝试访问不应访问的文件的请求。