【高危漏洞】GeoTools 远程代码执行漏洞

皓月当空，明镜高悬

文末可体验bugSearch系统哦~

漏洞出现时间：2024年7月2日

影响等级：高危

漏洞说明：

GeoTools 是一个用于处理地理空间数据（如地理信息系统: GIS）的开源代码库，并且支持 OGC 过滤器表达式语言的解析和编码。 GeoTools 的受影响版本在处理用户输入的 XPATH 表达式时未做处理直接传递给了 commons-jxpath 库进行解析，由于 commons-jxpath 可以执行任意代码，从而导致任意代码执行漏洞。在修复版本中通过在 GeoTools 库中新增 JXPathUtils 类提供 newSafeContext 方法，该方法通过设置空的 FunctionLibrary 来创建禁止调用 Java 方法的 JXPathContext，从而防止在 XPath 表达式中调用任意 Java 方法。

影响版本：