CVE-2024-38524

Nome do Software Vulnerável e Versões Afetadas Versões do GeoServer anteriores a 2.25.6 Versões do GeoServer anteriores a 2.26.2

Descrição A página inicial do GeoWebCache inclui informações de versão e revisão sobre o software em uso, o que é sensível do ponto de vista de segurança, pois permite que o software utilizado pelo servidor seja facilmente identificado. A função org.geowebcache.GeoWebCacheDispatcher.handleFrontPage(HttpServletRequest, HttpServletResponse) não possui verificação para ocultar informações potencialmente sensíveis dos usuários, exceto por uma propriedade de sistema oculta destinada a ocultar os locais de armazenamento, mas que, por padrão, exibe os locais. Isso expõe o arquivo de configuração e os locais de armazenamento, o que pode revelar a localização do diretório temporário do sistema e se o GeoServer está ou não em execução em um sistema operacional Windows. Além disso, o tempo aproximado de inicialização do servidor e algumas informações básicas de uso do GWC também são expostos.

Recomendações Para versões anteriores a 2.25.6, atualize para a versão 2.25.6 ou posterior. Para versões anteriores a 2.26.2, atualize para a versão 2.26.2 ou posterior. Como solução alternativa temporária, considere desativar a função handleFrontPage em org.geowebcache.GeoWebCacheDispatcher até que um patch esteja disponível. Restrinja o acesso à página inicial do GeoWebCache para minimizar o risco de exploração.