近日，市委网信办技术支撑单位监测到GeoServer官方发布新版本，修复了一个远程代码执⾏漏洞(CVE-2024-36401)，目前该漏洞PoC已在互联网上公开。鉴于该漏洞影响范围较大，建议各单位尽快做好自查及防护。
1.1漏洞描述
GeoServer是一个开源的服务器端软件，用于共享和编辑地理空间数据。它允许用户将地理数据发布为标准的Web服务。由于不安全地将属性名称评估为XPath表达式，多个OGC请求参数允许未经身份验证的用户通过针对默认GeoServer安装的特制输入执行任意代码。
1.2漏洞编号
CVE-2024-36401
1.3漏洞等级
高危
二、修复建议
2.1受影响版本
GeoServer < 2.23.6
2.24.0 <= GeoServer < 2.24.4
2.25.0 <= GeoServer < 2.25.2
2.2修复建议：
官方已发布新版本修复漏洞，建议尽快升级到最新版本：https://github.com/geoserver/geoserver/releases
