Ausgangspunkt der aktuellen Warnung war eine Veröffentlichung des Forschers @q1uf3ng auf X. Er machte die Schwachstelle öffentlich und erklärte, bei „jsonArrayContains“ in GeoServer liege eine nicht autorisierte SQL-Injection vor; im Fall der „sa“-Datenbank sei damit auf natürliche Weise auch Remotecodeausführung möglich.
watchTowr zufolge setzte die Aktivität fast unmittelbar danach ein. Die Plattform für Bedrohungsaufklärung und Exposure Management beobachtete innerhalb weniger Stunden nach der Offenlegung Ausnutzungsversuche und registrierte Hunderte Anfragen aus einem kleinen Pool von IP-Adressen. Jake Knott, leitender Sicherheitsforscher bei watchTowr, sagte The Hacker News, derzeit würden Angreifer vor allem versuchen, verwundbare Systeme im Internet zu identifizieren, dabei Fehler auslösen und dann nicht weiter vorgehen.
Knott warnte zugleich, dass dieser Zustand voraussichtlich nicht lange anhalten werde. GeoServer sei in der Vergangenheit wiederholt in größerem Maßstab angegriffen und ausgenutzt worden; mehrere Schwachstellen des Produkts seien im Katalog der bekannten aktiv ausgenutzten Schwachstellen von CISA gelistet. Besonders relevant sei, dass die nun bekannt gewordene Lücke unter bestimmten Konfigurationen letztlich zu Remotecodeausführung führen könne.
Inzwischen hat GeoServer Korrekturen veröffentlicht. Die abgesicherten Versionen sind 3.0.1, 2.28.5 und 2.27.6. Die Schwachstelle wird nun unter der GitHub-Sicherheitskennung GHSA-mqjf-5f49-2fjh geführt und erhielt einen CVSS-Wert von 9,8 von 10,0. Nach Angaben der Projekt-Maintainer tritt das Problem bei der Ausführung von OGC-Filtern mit der PostGIS-DataStore-Implementierung der Funktion „jsonArrayContains“ auf.
Die Maintainer beschreiben den technischen Fehler so: Bei PostGIS 12 und höher schreibe die Funktion „jsonArrayContains(<column>, <pointer>, <value>)“ den Parameter „<value>“ ohne Maskierung in das erzeugte SQL. Voraussetzung sei PostGIS 12 oder neuer in Verbindung mit einem String- oder JSON-Feld. Betroffen sind den Angaben zufolge Versionen des Maven-Pakets „org.geotools:gt-jdbc-postgis“.
Zugleich betonen die Maintainer, dass es sich um eine Regression von CVE-2023-25158 handelt. Diese ebenfalls kritische SQL-Injection mit CVSS 9,8 war zusammen mit CVE-2023-25157 bereits im Februar 2023 behoben worden. Jody Garnett, Projektverantwortlicher bei GeoCat, sagte The Hacker News auf Anfrage, die Schwachstelle sei ein bekanntes Problem in der GeoTools-Bibliothek und in den drei genannten GeoServer-Versionen behoben.
Der Blick auf frühere Vorfälle unterstreicht die Brisanz. Im Jahr 2024 wurde die kritische GeoServer-GeoTools-Schwachstelle CVE-2024-36401 mit einem CVSS-Wert von 9,8 aktiv ausgenutzt, um kompromittierte Geräte in DDoS- und Kryptomining-Botnetze sowie in Residential Proxies einzubinden.