GeoServer の GetMap で XXE によるファイル読み取り（悪用確認済み）

Critical（CVSS 9.8）に分類されるOSGeo GeoServerの脆弱性です。GeoServer の WMS の GetMap 操作を受け付けるエンドポイント /geoserver/wms が XML 入力を十分に検証しておらず、リクエストの中で外部実体（external entity）を定義できる。いわゆる XXE であり、外部から到達できればサーバー上のファイル読み取りや内部宛ての通信に使われ得る。影響範囲は NVD の記述では 2.26.0 以上 2.26.2 未満および 2.25.6 未満で、修正版は 2.25.6、2.26.3、2.27.0 とされている。CVSS は評価元で割れており、NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の GitHub（Secondary）は 8.2 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L）で、機密性以外への影響をどこまで見るかで差が出ている。いずれの評価も認証不要・利用者操作不要という点では一致している。CISA KEV には 2025-12-11 に収載され、是正期限は 2026-01-01。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

判定は動いている GeoServer の版を確認するところから始める。管理画面の About やサーバーステータスに版が表示されるほか、配備した geoserver.war 内の MANIFEST、コンテナならイメージタグで分かる。2.25.6 未満、または 2.26.0 以上 2.26.2 未満なら該当で、2.25.6・2.26.3・2.27.0 以降なら非該当である。見落としやすいのは、GeoServer を単体で立てた記憶が無くても地理空間系のスタックや社内配布の Docker イメージに同梱されているケースと、検証用に立てたまま公開が残っているインスタンスである。資産一覧から探すより、ロードバランサやリバースプロキシで /geoserver へ通っている経路を全部洗ったほうが確実に見つかる。すぐ更新できない場合は経路を閉じる方向でしのぐ。/geoserver 配下をインターネットから直接叩けないようにし、外部提供が必要ならプロキシ側で DOCTYPE を含む XML の POST を落とす、IP 制限や VPN の内側に入れる、といった形で未認証の到達性を消す。KEV 収載済みで是正期限 2026-01-01 は既に過ぎているため、古い版が残っているなら期限超過として扱う。実際に悪用されている脆弱性なので、版を上げただけで終わりにしてはいけない。data ディレクトリのストア設定に入っているデータベース接続情報や管理者資格情報の再発行、アクセスログに残る不審な GetMap リクエストの確認まで済ませて完了とする。

OSGeo GeoServer を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-58360）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/01/01 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。