GeoServer: SQL injection pre-autenticazione su PostGIS, regressione di una falla del 2023 (ultimo aggiornamento ACN

Una correzione del 2023 è tornata indietro. La vulnerabilità segnalata da ACN il 18 agosto interessa GeoTools, la libreria Java che sta sotto le funzionalità GIS di GeoServer, ed è una SQL injection pre-autenticazione con CVSS v3.1 pari a 9.8 che reintroduce per regressione del codice il difetto logico già tracciato come CVE-2023-25158. Il componente interessato è gt-jdbc-postgis: la funzione jsonArrayContains inserisce dati non sanificati nelle query SQL generate, così una richiesta costruita ad arte verso gli endpoint OGC esposti da GeoServer, i servizi WFS e WMS configurati su datastore PostGIS, esegue istruzioni SQL arbitrarie sul database sottostante. Quando l'utenza del database ha privilegi amministrativi, l'esito può arrivare all'esecuzione di codice sul sistema.

Il punto che merita attenzione operativa è che la mitigazione pubblicata nel 2023 non protegge da questa variante: abilitare i prepared statement e disabilitare l'encoding delle funzioni, la contromisura raccomandata all'epoca, non chiude questo percorso di iniezione. Chi si era messo in sicurezza tre anni fa senza aggiornare la libreria è quindi vulnerabile pur avendo fatto ciò che gli era stato chiesto. La cronologia è compressa: divulgazione pubblica il 12 agosto 2026, tentativi di sfruttamento osservati nel giro di poche ore da un gruppo ristretto di indirizzi IP, rilasci correttivi di GeoServer il 14 agosto. Shadowserver contava oltre 1.500 istanze esposte a livello mondiale.

È la notizia con la maggiore rilevanza nazionale del periodo. GeoServer è lo standard di fatto per la pubblicazione di cartografia e dati territoriali nella pubblica amministrazione italiana: sistemi informativi territoriali regionali e comunali, portali di dati aperti, servizi WMS e WFS per l'urbanistica e la pianificazione. Sono installazioni tipicamente esposte su internet per definizione, perché il loro scopo è servire mappe a chiunque, spesso gestite da uffici tecnici senza un presidio di sicurezza dedicato e appoggiate a PostGIS, cioè proprio la combinazione vulnerabile. A doversene preoccupare è chi pubblica servizi OGC verso l'esterno: il fatto che il servizio sia pensato per essere pubblico non lo rende meno critico, lo rende solo più facile da trovare.

• Versioni affette: GeoTools 35.0, ramo 34.x precedente alla 34.5, ramo 33.x precedente alla 33.6; sul lato applicativo le release correttive di GeoServer sono la 3.0.1, la 2.28.5 e la 2.27.6. Sono interessate le configurazioni con datastore PostGIS.
• Azione raccomandata: aggiornare GeoServer e GeoTools alle versioni correttive, senza affidarsi alle mitigazioni indicate per la CVE-2023-25158 del 2023, che qui non sono efficaci; censire le istanze esposte verso internet e limitare l'accesso agli endpoint WFS e WMS dove possibile; ridurre i privilegi dell'utenza PostgreSQL usata dal datastore, che è ciò che separa una SQL injection dalla compromissione del server; verificare i log per richieste anomale ai servizi OGC a partire dal 12 agosto.

Fonti: ACN, GeoTools Advisory, The Hacker News, CyCognito