GeoServer היא תוכנה בקוד פתוח שמשמשת ארגונים לפרסום מפות ונתונים גאוגרפיים. באחת הבקשות שהיא מקבלת אפשר להחביא הפניה לקובץ שיושב על השרת, ולקבל את תוכנו בתשובה. הציון הוא 8.2 מתוך 10, והחולשה נמצאת בקטלוג החולשות המנוצלות בפועל של CISA מאז דצמבר 2025.
מה החולשה?
חלק מהבקשות ל-GeoServer נשלחות כמסמך XML. בשפה הזאת אפשר להגדיר ישות, מעין קיצור שהמסמך מכריז עליו ושמוחלף בתוכן כשהמסמך נקרא. התוכן הזה יכול לבוא ממקום חיצוני, כולל מקובץ על המחשב שקורא את המסמך.
השרת לא הגביל את האפשרות הזאת. תוקף ששולח בקשת מפה בנתיב /geoserver/wms יכול להכריז בתוכה על ישות שמצביעה על קובץ בשרת, והשרת יקרא את הקובץ ויחזיר את תוכנו כחלק מהתשובה. המשפחה הזאת נקראת XXE, קיצור של XML External Entity.
הכלי שנועד לחסוך הקלדה הפך כאן למנגנון קריאה של קבצים. אין צורך בחשבון ואין צורך בהרשאה.
מי מושפע?
התקנות GeoServer בגרסאות שקדמו ל-2.25.6, וכן בקו 2.26 בגרסאות שקדמו ל-2.26.2. לפי ההודעה הרשמית, התיקון שוחרר בגרסאות 2.25.6, 2.26.3 ו-2.27.0.
GeoServer מותקן בעיקר אצל גופים שעובדים עם מידע גאוגרפי: רשויות מקומיות, גופי תכנון ותשתית, חברות סקר ומיפוי ומחלקות מחקר באקדמיה. גם בישראל אלה הסביבות שבהן הוא נמצא. משתמשים פרטיים אינם מושפעים, אבל שרת כזה מחזיק לעיתים קרובות שכבות מידע שאינן פתוחות לציבור.
האם מנוצלת בפועל?
כן. ב-11 בדצמבר 2025 נכנסה החולשה לקטלוג ה-KEV, הרשימה שבה CISA מרכזת חולשות שתועד שימוש בהן בידי תוקפים בפועל, עם מועד תיקון לגופים פדרליים עד ה-1 בינואר 2026. שרתי GeoServer חשופים לאינטרנט הם יעד מוכר, בין היתר מפני שהם נועדו מלכתחילה להגיש מפות לקהל.
מה עושים?
עדכנו לגרסה 2.25.6, 2.26.3 או 2.27.0, לפי הקו שאתם מריצים. אלה הגרסאות שמופיעות בהודעת האבטחה של הפרויקט, שמקושרת בתיבת המידע הטכני.
אם אתם על גרסה ישנה יותר ואינכם יכולים לעדכן מיד, צמצמו את מי שיכול לשלוח בקשות לשרת. שכבת הזדהות לפני הגישה או הגבלה לרשת מסוימת מורידה משמעותית את החשיפה, כי הניצול אינו דורש חשבון אלא רק יכולת להגיע לנתיב.
עברו על יומני השרת וחפשו בקשות לנתיב /geoserver/wms שמכילות מסמכי XML חריגים, במיוחד כאלה שמכריזים על ישויות. זה הסימן הישיר לניסיון ניצול, והוא בולט ביומן מול תעבורת מפות רגילה.