风险提示｜GeoServer SQL注入漏洞（CVE-2023-25157）

漏洞详情：【GeoServer SQL注入漏洞】(https://stack.chaitin.com/vuldb/detail?id=a37fe712-a883-4406-a7d8-fbdbc5bcca24)

GeoServer是一款开源地理数据服务器软件，主要用于发布、共享和处理各种地理空间数据。它支持众多的地图和空间数据标准，使各种设备能够通过网络浏览和使用这些地理信息数据。

近日，长亭科技监测到GeoServer发布新版本，修复了SQL注入漏洞。

经过漏洞分析，发现公网上仍有不少相关系统尚未修复漏洞。根据该漏洞原理，应急团队编写了X-POC远程检测工具和牧云本地检测工具，同时也提供了该资产的排查方法。这些工具目前向公众开放下载和使用。

## **漏洞描述**

GeoServer在预览图层时，可以对图层进行数据过滤，将图层渲染到指定位置。由于用户输入没有被过滤，当使用需要数据库作为数据存储的功能时，攻击者可以构造畸形的过滤语法，绕过GeoServer的词法解析，从而造成SQL注入，获取服务器中的敏感信息，甚至可能获取数据库服务器权限。

长汀应急实验室经过深入分析发现，默认情况下，GeoServer内置层并不使用数据库作为存储方式，而是将数据存储在文件中，因此不受该漏洞影响。使用该系统创建自定义层并使用外部数据库将导致相应功能存在SQL注入漏洞。

## **检测工具**

### **X-POC远程检测工具**

#### **检测方法**

````

xpoc -r 101 -t 扫描目标URL

````