L’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) a annonc\u00e9 lundi ajout\u00e9e<\/a> une faille de s\u00e9curit\u00e9 critique affectant OSGeo GeoServer GeoTools en raison de ses vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV<\/a>) catalogue, bas\u00e9 sur des preuves d’exploitation active.<\/p>\n GeoServer est un logiciels open source<\/a> Serveur \u00e9crit en Java qui permet aux utilisateurs de partager et d’\u00e9diter des donn\u00e9es g\u00e9ospatiales. Il s’agit de l’impl\u00e9mentation de r\u00e9f\u00e9rence des standards Web Feature Service (WFS) et Web Coverage Service (WCS) de l’Open Geospatial Consortium (OGC).<\/p>\n La vuln\u00e9rabilit\u00e9, suivie comme CVE-2024-36401<\/a> (Score CVSS\u00a0: 9,8), concerne un cas d’ex\u00e9cution de code \u00e0 distance qui pourrait \u00eatre d\u00e9clench\u00e9e par une entr\u00e9e sp\u00e9cialement con\u00e7ue.<\/p>\n \u00ab Plusieurs param\u00e8tres de requ\u00eate OGC permettent l’ex\u00e9cution de code \u00e0 distance (RCE) par des utilisateurs non authentifi\u00e9s via une entr\u00e9e sp\u00e9cialement con\u00e7ue par rapport \u00e0 une installation GeoServer par d\u00e9faut en raison de l’\u00e9valuation non s\u00e9curis\u00e9e des noms de propri\u00e9t\u00e9 en tant qu’expressions XPath \u00bb, selon un consultatif<\/a> publi\u00e9 par les mainteneurs du projet plus t\u00f4t ce mois-ci.<\/p>\n La lacune a \u00e9t\u00e9 adress\u00e9<\/a> dans les versions 2.23.6, 2.24.4 et 2.25.2. Le chercheur en s\u00e9curit\u00e9 Steve Ikeoka a \u00e9t\u00e9 cr\u00e9dit\u00e9 d’avoir signal\u00e9 la faille.<\/p>\n On ne sait pas encore exactement comment la vuln\u00e9rabilit\u00e9 est exploit\u00e9e dans la nature. GeoServer a not\u00e9 que le probl\u00e8me est \u00ab confirm\u00e9 comme \u00e9tant exploitable via les requ\u00eates WFS GetFeature, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic et WPS Execute \u00bb.<\/p>\n Une autre faille critique a \u00e9galement \u00e9t\u00e9 corrig\u00e9e par les mainteneurs (CVE-2024-36404<\/a>score CVSS\u00a0: 9,8) qui pourrait \u00e9galement entra\u00eener une RCE \u00ab\u00a0si une application utilise certaines fonctionnalit\u00e9s de GeoTools pour \u00e9valuer les expressions XPath fournies par la saisie de l’utilisateur\u00a0\u00bb. Ce probl\u00e8me a \u00e9t\u00e9 r\u00e9solu dans les versions 29.6, 30.4 et 31.2.<\/p>\n \u00c0 la lumi\u00e8re de l\u2019abus actif de CVE-2024-36401, les agences f\u00e9d\u00e9rales sont tenues d\u2019appliquer les correctifs fournis par le fournisseur d\u2019ici le 5 ao\u00fbt 2024.<\/p>\n Cette \u00e9volution intervient alors que des rapports ont fait \u00e9tat de l’exploitation active d’une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code \u00e0 distance dans la bo\u00eete \u00e0 outils de conversion de documents Ghostscript (CVE-2024-29510<\/a>) qui pourrait \u00eatre utilis\u00e9 pour \u00e9chapper au bac \u00e0 sable -dSAFER<\/a> et ex\u00e9cuter du code arbitraire.<\/p>\n La vuln\u00e9rabilit\u00e9, corrig\u00e9e dans la version 10.03.1 suite \u00e0 une divulgation responsable par Codean Labs le 14 mars 2024, a depuis \u00e9t\u00e9 utilis\u00e9e comme arme pour obtenir un acc\u00e8s shell aux syst\u00e8mes vuln\u00e9rables, selon le d\u00e9veloppeur de ReadMe Bill Mill<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/La-CISA-met-en-garde-contre-une-faille-RCE-activement.png\")
<\/a><\/center><\/section>\n