Avviso tecnico

Rilevato sfruttamento di vulnerabilità in GeoServer

Fonte ufficiale

Sintesi operativa EudorIA

Cosa significa

Priorità 95/100

Rilevato sfruttamento attivo in rete di una vulnerabilità critica in GeoServer, già sanata dal vendor. La vulnerabilità, di tipo SQL Injection pre-autenticazione, consente l'esecuzione di codice arbitrario. È disponibile un PoC in rete, aumentando il rischio di attacchi su larga scala. Le versioni interessate sono 34.x < 34.5 e 33.x < 33.6.

Perché conta

Per le PMI italiane, la compromissione di sistemi GIS potrebbe portare alla perdita di dati sensibili e alla interruzione delle operazioni. La presenza di un PoC in rete aumenta il rischio di attacchi mirati, con impatti significativi sulla continuità operativa e sulla reputazione aziendale.

Azioni consigliate

Aggiornare GeoServer a versione 34.5 o superiore
Disabilitare o limitare l'accesso a endpoint OGC non necessari
Applicare filtri di input e sanitizzazione dei dati in ingresso
Configurare firewall per bloccare accessi non autorizzati a servizi GIS
Implementare log dettagliati e monitoraggio delle richieste a GeoServer
Eseguire backup regolari e test di ripristino

Sistemi e prodotti interessati

GeoServer 34.x < 34.5
GeoServer 33.x < 33.6

Cosa cercare (rilevamento)

Ricerca di query SQL non sanitate nei log di GeoServer
Monitoraggio di richieste WFS/WMS con parametri anomali
Analisi di errori SQL o risposte di database in contesti non previsti
Verifica di accessi non autorizzati a endpoint OGC
Controllo di log di accesso a database PostGIS

MITRE ATT&CKT1059 · Command and Scripting Interpreter *T1078 · Valid Accounts *T1059.001 · PowerShell *

Brief generato da un modello locale EudorIA (qwen3:8b@workstation-gpu) a partire dal testo della fonte. Verificare sulla fonte prima di decisioni operative; le tecniche con * sono inferite dal modello. La fonte indica un sfruttamento attivo e la disponibilità di un PoC, ma non fornisce dettagli sulle campagne specifiche o sulle vittime identificate.

Estratto della fonte usato dal modello

Rilevato sfruttamento di vulnerabilità in GeoServer Rilevato lo sfruttamento attivo in rete di una vulnerabilità con gravità “critica” - già sanata dal vendor - relativa a GeoTools, libreria Java open source alla base delle funzionalità GIS di GeoServer. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati. Rilevata inoltre la disponibilità in rete di un Proof of Concept (PoC) per la vulnerabilità che contribuisce ad aumentarne il rischio di sfruttamento su larga scala. Descrizione e potenziali impatti La vulnerabilità - di tipo "SQL Injection" pre-autenticazione e con score CVSS v3.1 pari 9.8 - risulta essere una regressione del codice che reintroduce un difetto logico già tracciato con l’identificativo CVE-2023-25158. La problematica interessa il componente gt-jdbc-postgis di GeoTools ed è causata da un'errata gestione degli input nella funzione jsonArrayContains, la quale consente l'inserimento di dati non sanitizzati nelle query SQL generate. Tramite richieste opportunamente predisposte verso endpoint OGC esposti da GeoServer, quali i servizi WFS e WMS, e configurati per utilizzare datastore PostGIS vulnerabili, un attaccante remoto potrebbe eseguire istruzioni SQL arbitrarie sul database sottostante e, in specifiche configurazioni dell'ambiente interessato, l'esecuzione di codice arbitrario, con conseguente compromissione del sistema target. Prodotti e versioni affette 34.x, v

Benefici operativi potenziali

Riduzione della superficie esposta a attacchi SQL Injection
Maggiore sicurezza dei dati sensibili e dei sistemi GIS
Minimizzazione del rischio di compromissione del database
Miglioramento della capacità di rilevamento e risposta agli attacchi

Indicazioni da confermare sul perimetro tecnico e organizzativo del cliente.

Controlli pertinentiPatch managementSegmentazione di reteMonitoraggio / SIEMFirewall NGFW / IPSBackup & DR

DestinatariITSOCCISO

Testo acquisito dalla fonte

Rilevato lo sfruttamento attivo in rete di una vulnerabilità con gravità “critica” - già sanata dal vendor - relativa a GeoTools, libreria Java open source alla base delle funzionalità GIS di GeoServer. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati.

Fonte: ACN / CSIRT Italia
Entità pubblicatrice: ACN / CSIRT Italia
Tipo entità: CSIRT nazionale
Area: Europe · IT
Lingua originale: it · traduzione non necessaria
Pubblicazione: 18/08/2026 12:37
MITRE ATT&CK: T1059, T1078, T1059.001
Classificazione: Critica
Paese indicato: IT

Azione indicata dalla fonte

Verificare con priorita esposizione e versioni interessate; applicare le mitigazioni indicate da ACN / CSIRT Italia.

Apri la fonte originale