In GeoServer wurde eine kritische SQL injection mit einem Score von CVSS 9.8 entdeckt, die unter bestimmten Konfigurationen zu Remote Code Execution (RCE) führen kann. Die Schwachstelle wird unter GHSA-mqjf-5f49-2fjh nachverfolgt und betrifft die Bibliothek GeoTools im PostGIS-Komponentenmodul. Die Entwickler haben bereits Patches für drei unterstützte Branches veröffentlicht – GeoServer 3.0.1, 2.28.5 und 2.27.6. Organisationen, die GeoServer mit PostGIS 12 oder höher einsetzen, müssen umgehend aktualisieren, da laut dem Unternehmen watchTowr im Netz bereits nach verwundbaren Instanzen gescannt wird.
Technische Details der Schwachstelle
Die Schwachstelle ist in der Implementierung des PostGIS DataStore der GeoTools-Bibliothek lokalisiert. Laut dem offiziellen Sicherheitshinweis auf GitHub tritt das Problem bei der Ausführung von OGC-Filtern mit der Funktion jsonArrayContains auf. In PostGIS-Versionen 12 und höher schreibt der Aufruf jsonArrayContains(<column>, <pointer>, <value>) den Parameter <value> in das generierte SQL-Statement ohne Escaping, was einen direkten Vektor für SQL injection eröffnet.
Für eine Ausnutzung sind PostGIS in Version 12 oder höher sowie ein Feld vom Typ String oder JSON erforderlich. Bei vorhandenen Administratorrechten für die Datenbank soll die Schwachstelle Berichten zufolge Remote Code Execution ermöglichen.
Betroffene Versionen des Maven-Pakets org.geotools:gt-jdbc-postgis:
- Version 35.0 – behoben in 35.1
- Versionen ≥34.0 – behoben in 34.5
- Versionen ≥33.1 – behoben in 33.6
Zugehörige GeoServer-Releases: 3.0.1, 2.28.5 und 2.27.6.
Regression einer zuvor behobenen Schwachstelle
Besondere Aufmerksamkeit verdient die Tatsache, dass die Maintainer des Projekts diese Schwachstelle als Regression der zuvor behobenen CVE-2023-25158 (CVSS 9.8) eingestuft haben – einer kritischen SQL injection, die im Februar 2023 zusammen mit CVE-2023-25157 behoben wurde. Das bedeutet, dass ein Fix, der vor mehr als drei Jahren eingespielt wurde, im Verlauf der weiteren Entwicklung unbeabsichtigt wieder rückgängig gemacht wurde – eine für große Open-Source-Projekte typische, aber deswegen nicht weniger gefährliche Situation.
Jody Garnett von GeoCat hat nach vorliegenden Berichten bestätigt, dass es sich bei der Schwachstelle um ein bekanntes Problem in der GeoTools-Bibliothek handelte und dass sie in den genannten drei GeoServer-Releases behoben wurde.
Beobachtete Scanning-Aktivitäten
Die Schwachstelle wurde am 12. August 2026 von einem Forscher mit dem Pseudonym @q1uf3ng in dem sozialen Netzwerk X öffentlich offengelegt. Nach Angaben des Unternehmens watchTowr wurden bereits innerhalb weniger Stunden nach der Veröffentlichung Versuche zur Ausnutzung registriert – Hunderte von Requests aus einem kleinen Pool von IP-Adressen.
Wichtiger Hinweis: Zum Zeitpunkt der Veröffentlichung beschränkte sich die beobachtete Aktivität laut Jake Nott, Forscher bei watchTowr, auf Sondierungen – Angreifer identifizierten verwundbare Systeme, indem sie Fehler provozierten, gingen jedoch nicht zu einer vollständigen Ausnutzung über. Der erste Bericht von watchTowr mit Telemetriedaten und Indikatoren einer Kompromittierung ist nicht öffentlich zugänglich, weshalb das Ausmaß der Aktivität mit Vorsicht zu bewerten ist. Der Status der Ausnutzung lässt sich korrekter als beobachtetes Scanning einordnen, nicht als bestätigte Ausnutzung in realen Angriffen.
Historische Bedrohungslage für GeoServer
GeoServer war wiederholt Ziel von Angreifern. Im Jahr 2024 wurde die kritische Schwachstelle CVE-2024-36401 (CVSS 9.8) in der GeoServer-Komponente GeoTools nach vorliegenden Informationen zur Bildung von Botnetzen missbraucht – sowohl für DDoS-Angriffe und das Mining von Kryptowährungen als auch zum Aufbau persistenter Proxy-Netzwerke. Dieser Präzedenzfall macht die aktuelle Schwachstelle besonders bedeutsam: Angesichts einer öffentlich beschriebenen Angriffsoberfläche und des historisch dokumentierten Interesses von Angreifern an der Plattform ist der Übergang vom Scanning zur aktiven Ausnutzung nur eine Frage der Zeit.
Auswirkungsanalyse
GeoServer wird breit in staatlichen Geoinformationssystemen, Kartendiensten, Infrastrukturprojekten und wissenschaftlichen Einrichtungen eingesetzt. Instanzen, die aus dem Internet erreichbar sind und mit PostGIS 12+ sowie Feldern vom Typ String oder JSON arbeiten, sind besonders gefährdet. Eine erfolgreiche Ausnutzung kann zu einer vollständigen Kompromittierung des Datenbankservers, zum Abfluss georäumlicher Daten und zur Nutzung der kompromittierten Infrastruktur als Ausgangspunkt für weitere Angriffe führen.
Empfehlungen zur Reaktion
- Sofortiges Update: Aktualisieren Sie GeoServer je nach verwendetem Branch auf Version 3.0.1, 2.28.5 oder 2.27.6. Auf Ebene der GeoTools-Bibliothek aktualisieren Sie
org.geotools:gt-jdbc-postgisentsprechend auf Version 35.1, 34.5 oder 33.6. - Inventarisierung: Erfassen Sie alle GeoServer-Instanzen in Ihrer Infrastruktur, insbesondere solche mit Internetzugang.
- Zugriffsbeschränkung: Falls ein sofortiges Update nicht möglich ist, schließen Sie den öffentlichen Zugriff auf GeoServer über Netzwerkkontrollen – Firewalls, VPNs, Allowlists für IP-Adressen.
- Monitoring: Prüfen Sie Logdateien auf ungewöhnliche OGC-Anfragen, in denen die Funktion
jsonArrayContainsverwendet wird, insbesondere mit untypischen Werten in den Parametern. - Überprüfung der PostGIS-Version: Die Schwachstelle ist nur für PostGIS 12 und höher relevant. Wird eine ältere Version eingesetzt, besteht kein unmittelbares Risiko, ein GeoServer-Update wird jedoch dennoch empfohlen.
Angesichts des CVSS-Scores von 9.8, des Charakters der Schwachstelle als Regression eines bereits ausgenutzten Fehlerklassen-Typs und der beobachteten Scans sollte das Update von GeoServer auf die gepatchten Versionen höchste Priorität haben. Organisationen, die in den nächsten Stunden nicht aktualisieren können, sollten verwundbare Instanzen zumindest vom direkten Zugriff aus dem Internet isolieren.
