GeoServer bị khai thác zero-day SQL injection, có thể dẫn tới RCE
"A newly disclosed zero-day SQL injection in GeoServer was observed under active exploitation attempts within hours of public disclosure. The flaw can lead to remote code execution under certain configurations, affects GeoServer/GeoTools PostGIS OGC filter handling, and was later fixed in GeoServer 3.0.1, 2.28.5, and 2.27.6; the issue was assigned GHSA-mqjf-5f49-2fjh and is related to regression of CVE-2023-25158. The article also references prior exploitation of CVE-2024-36401 in GeoServer GeoTools."
Lỗ hổng SQL injection nghiêm trọng có thể dẫn tới RCE trong một số cấu hình; đã có nỗ lực khai thác thực tế ngay sau khi công bố.
Dịch vụ GeoServer có nguy cơ bị xâm nhập nếu phơi bày ra Internet; có thể ảnh hưởng tính sẵn sàng, an toàn dữ liệu và yêu cầu nâng cấp khẩn cấp.
GeoServer đang ghi nhận các nỗ lực khai thác một lỗ hổng zero-day vừa được công bố, theo quan sát của watchTowr. Lỗi này là SQL injection trong cơ chế xử lý OGC Filters của GeoServer/GeoTools với PostGIS DataStore, và trong một số cấu hình có thể dẫn tới remote code execution (RCE). Theo mô tả ban đầu, lỗ hổng chưa có CVE tại thời điểm công bố và đã bị khai thác chỉ trong vài giờ sau khi thông tin được công khai.
Nhà nghiên cứu cho biết lỗi liên quan đến hàm jsonArrayContains và có thể ảnh hưởng khi dùng PostGIS 12 trở lên với trường String hoặc JSON. Dự án đã phát hành các bản vá GeoServer 3.0.1, 2.28.5 và 2.27.6; đồng thời lỗi được gán mã GHSA-mqjf-5f49-2fjh với CVSS 9.8. Các gói Maven org.geotools:gt-jdbc-postgis cũng có bản sửa tương ứng.
Tổ chức đang vận hành GeoServer nên xác định các instance đang lộ ra Internet, hạn chế truy cập công khai, kiểm tra phiên bản đang dùng và nâng cấp ngay lên bản đã vá. Cần theo dõi nhật ký để phát hiện dấu hiệu dò quét hoặc khai thác, đặc biệt trong bối cảnh GeoServer từng nhiều lần bị nhắm tới, gồm cả CVE-2024-36401 và CVE-2023-25158.