CVE-2024-36401
— 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：GeoServer 将属性名称不安全地解析为 XPath 表达式。
💥 **后果**：导致 **远程代码执行 (RCE)**，攻击者可完全控制服务器。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE-95**：不当的代码生成。
📍 **缺陷点**：GeoTools 库在处理 OGC 请求参数时，未对属性名称进行安全过滤，直接作为 XPath 执行。
Q3影响谁？（版本/组件）
📦 **产品**：GeoServer (Java 开源地理空间服务器)。
📉 **受影响版本**：
- < 2.25.1
- < 2.24.3
- < 2.23.5
- **注意**：官方指出所有版本均受影响，需升级至最新安全版本。
Q4黑客能干啥？（权限/数据）
👑 **权限**：**未授权** (Unauthenticated)。
📂 **数据/操作**：
- 执行任意系统命令。
- 建立反向 Shell。
- 完全接管服务器权限。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛极低**。
- **无需认证**：未授权用户即可利用。
- **无需交互**：远程网络攻击 (AV:N)。
- **复杂度低**：攻击向量简单 (AC:L)。
Q6有现成Exp吗？（PoC/在野利用）
🔥 **有现成 Exp**。
GitHub 上已有多个 PoC/Exploit 工具：
- `bigb0x/CVE-2024-36401` (反向 Shell)
- `Niuwoo/CVE-2024-36401` (无回显命令执行)
- `RevoltSecurities/CVE-2024-36401` (自动化检测与利用)
- `Mr-xn/CVE-2024-36401` (多种利用方式)
⚠️ **在野利用风险高**。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. **版本检查**：确认 GeoServer 版本是否低于 2.23.5/2.24.3/2.25.1。
2. **扫描特征**：检测针对 OGC 请求参数的恶意 XPath 注入 payload。
3. **时间延迟**：尝试注入 `java.lang.Thread.sleep` 观察响应延迟（如 PoC 所示）。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方已修复**。
- **补丁版本**：升级至 **2.25.2**、**2.24.4** 或 **2.23.6** 及以上。
- **参考**：GeoServer 和 GeoTools 安全公告 (GHSA-6jj6-gm7p-fcvv, GHSA-w3pj-wh35-fq8w)。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
- **升级**：最推荐方案。
- **网络隔离**：限制 GeoServer 对公网访问，仅允许内网或可信 IP。
- **WAF 规则**：拦截包含 XPath 特殊字符 (`//`, `*`, `.`) 的异常 OGC 请求参数。
Q10急不急？（优先级建议）
🔴 **优先级：极高 (Critical)**。
- **CVSS 评分**：9.8 (Critical)。
- **理由**：未授权 + 远程 + 代码执行 + 广泛影响。
- **建议**：**立即升级**或实施严格网络访问控制！