Vulnerabilidad en GeoServer (CVE-2024-34696)

GeoServer es un servidor de código abierto que permite a los usuarios compartir y editar datos geoespaciales. A partir de la versión 2.10.0 y antes de las versiones 2.24.4 y 2.25.1, la página Estado del servidor de GeoServer y la API REST enumeran todas las variables de entorno y propiedades de Java para cualquier usuario de GeoServer con derechos administrativos como parte del mensaje de estado de esos módulos. Estas variables/propiedades también pueden contener información confidencial, como contraseñas de bases de datos o keys/tokens API. Además, muchas imágenes de contenedores de GeoServer desarrolladas por la comunidad "exportan" otras credenciales desde sus scripts de inicio como variables de entorno al proceso de GeoServer ("java"). El alcance preciso del problema depende de qué imagen de contenedor se utiliza y cómo está configurada. El endpoint API "acerca del estado" que impulsa la página Estado del servidor solo está disponible para los administradores. Dependiendo del entorno operativo, los administradores pueden tener acceso legítimo a las credenciales de otras maneras, pero este problema anula controles más sofisticados (como el acceso sin barreras a secretos o cuentas de rol). De forma predeterminada, GeoServer solo permite el acceso API autenticado del mismo origen. Esto limita las posibilidades de que un atacante externo utilice las credenciales de un administrador para obtener acceso a las credenciales. Los investigadores que encontraron la vulnerabilidad no pudieron determinar otras condiciones bajo las cuales la API REST de GeoServer pueda estar disponible de manera más amplia. Los usuarios deben actualizar las imágenes del contenedor para usar GeoServer 2.24.4 o 2.25.1 para corregir el error. Como workaround, deje las variables de entorno y las propiedades del sistema Java ocultas de forma predeterminada. Quienes brinden la opción de volver a habilitarlo deben comunicar el impacto y los riesgos para que los usuarios puedan tomar una decisión informada.