最后更新于2024年7月19日星期五19:46:23 GMT

GeoServer未认证的RCE

本周，撰稿人 h00die-gr3y 添加了一个有趣的攻击模块，目标是GeoServer开源应用程序. 该软件用于查看、编辑和共享地理空间数据. Versions prior to 2.23.6、版本2之间.24.0 and 2.24.3和2之间的版本.25.0 and 2.25.1 .不安全地将属性名计算为XPath表达式, 哪些可能导致未经身份验证的远程代码执行. 此漏洞标识为 CVE-2024-36401，并影响所有GeoServer实例. 这已经被证实可以通过WFS GetFeature来利用, WFS GetPropertyValue, WMS GetMap, WMS GetFeatureInfo, WMS GetLegendGraphic, 和WPS执行请求.

新增模块内容(1)

GeoServer未认证远程代码执行

Authors: Steve Ikeoka, h00die-gr3y, and jheysel-r7
Type: Exploit
Pull request: #19311 contributed by h00die-gr3y
Path: 多/ http / geoserver_unauth_rce_cve_2024_36401
AttackerKB参考: CVE-2024-36401

Description: 这增加了一个针对CVE-2024-36401的攻击模块, 2之前版本的GeoServer中存在未经身份验证的RCE漏洞.23.6、之间版本2.24.0 and 2.24.3 and in version 2.25.0, 2.25.1.

增强功能和特性(1)

  • #19325 from pmauduit - Updates the TARGETURI description for the geoserver_unauth_rce_cve_2024_36401 module.

Bugs fixed (3)

  • #19322 from dledda-r7 修复了一个问题，导致一些Meterpreters在配置HTTP或HTTPS传输时无法连接时消耗大量内存.
  • #19324 from adfoster-r7 -这更新了rpc_session库，使rpc兼容模块能够处理未知会话, i.e. rpc.call('session.compatible_modules ', 1).
  • #19327 from dledda-r7 -这碰撞了metasploit_payload_mettle的版本，以拉入Linux和OS X Meterpreters的更改. 这些更改修复了阻止嗅探器扩展加载的问题.

Documentation

您可以在我们的网站上找到最新的Metasploit文档 docs.metasploit.com.

Get it

与往常一样，您可以使用 msfupdate 你可以在GitHub上获得自上一篇博客文章以来的更多变化细节:

If you are a git 用户，可以克隆 Metasploit框架 (主分支)为最新. 要安装fresh而不使用git，您可以使用open-source-only Nightly Installers 或者商业版 Metasploit Pro.

永远不要错过新出现的威胁

第一时间了解最新的漏洞和网络安全新闻.