geoscene-server - 超腾开源标签

本文针对GeoScene Portal 4.1中存在的Guava竞争条件漏洞(CVE-2023-2976)提供完整的解决方案。漏洞源于Guava库在FileBackedOutputStream中存在的安全问题，允许访问Java临时目录的用户创建文件。文档详细列出了漏洞文件的具体位置，并给出两种修复方案：方案一直接升级所有Guava jar包到32.1.2版本；方案二推荐升级OpenSearch到2.19.3版本，此方案可同时修复SnakeYAML漏洞。两种方案均包含详细的操作步骤和注意事项，确保用户能够安全、有效地完成漏洞修复。

本文针对GeoScene Server和Portal在安全检测中暴露的SnakeYAML、Guava、Netty等关键安全漏洞，提供了详细的修复方案和操作指南。重点介绍了OpenSearch升级过程中的关键目录路径和注意事项，包括Portal自带的jre文件夹、OpenSearch安装目录及日志路径，确保升级过程中服务稳定运行。文档基于实际项目经验整理，为GeoScene用户提供了一套完整的安全加固解决方案。

在GeoScene Server中，关闭服务目录可以显著提升服务安全性。开启或关闭服务目录的方法相同：首先通过指定地址登录管理员后台，依次进入system、handlers、rest、servicesdirectory页面，点击编辑后，勾选或取消勾选“Services Directory Enabled”复选框即可实现开启或关闭。操作简单，无需填写Portal token。