Nach Angaben von WatchTowr haben Bedrohungsakteure kurz nach der öffentlichen Offenlegung einer Zero-Day-Schwachstelle begonnen, GeoServer-Instanzen anzugreifen. Die Sicherheitslücke war am Mittwoch durch den Forscher q1uf3ng bekannt gemacht worden.
Der Fehler wird als SQL-Injection beschrieben. Laut q1uf3ng betrifft er die Funktion jsonArrayContains in GeoServer. Dabei handelt es sich um einen Filterausdruck, mit dem JSON-Array-Felder darauf geprüft werden, ob sie bestimmte Werte enthalten. Die Funktion kann mit PostGIS- und Oracle-JDBC-Datenspeichern verwendet werden.
Dem Quelltext zufolge liegt die Ursache wahrscheinlich darin, dass von Nutzern gelieferte Argumente vor ihrer Einbettung in Datenbankabfragen nicht korrekt bereinigt werden. Unter bestimmten Konfigurationen kann das nach den vorliegenden Angaben zu einer Remotecodeausführung führen.
WatchTowr zufolge setzte die Ausnutzung fast unmittelbar nach der Veröffentlichung ein. Jake Knott von WatchTowr erklärte, man habe „innerhalb von Stunden nach der öffentlichen Offenlegung Ausnutzungsversuche beobachtet“ und inzwischen Hunderte Versuche erfasst, die von einer kleinen Zahl von Quell-IP-Adressen ausgingen. Das sei ein weiteres Beispiel dafür, wie schnell Angreifer reagierten, sobald eine Schwachstelle öffentlich bekannt werde.
Bislang hätten die Angreifer die Schwachstelle vor allem genutzt, um verwundbare Systeme zu sondieren, so WatchTowr. Weitere Folgeaktivitäten seien bisher nicht beobachtet worden. Knott dämpfte jedoch mögliche Entwarnung: Es sei unwahrscheinlich, dass dies lange so bleibe, da GeoServer bereits in der Vergangenheit in großem Maßstab ins Visier genommen und ausgenutzt worden sei. Zudem seien mehrere GeoServer-Schwachstellen im Katalog der bekannten ausgenutzten Schwachstellen von CISA aufgeführt.
Erschwerend kommt hinzu, dass derzeit noch kein Patch verfügbar ist. Knott sagte, Organisationen mit GeoServer-Installationen sollten die Schwachstelle ernst nehmen und, wo möglich, exponierte Instanzen identifizieren, den öffentlichen Zugriff einschränken und auf eine Korrektur des Herstellers achten.
GeoServer ist eine weit verbreitete Open-Source-Plattform für die gemeinsame Nutzung und Verarbeitung geospatialer Daten. Eingesetzt wird sie laut Quelltext unter anderem in Behörden, der Landwirtschaft, der Telekommunikation, im Transportbereich und in weiteren Branchen.