EudorIACyber Intelligence
Operational monitoring Newsletter IT EN
← Back to intelligence
Technical advisory

Rilevato sfruttamento di vulnerabilità in GeoServer

Official source
EudorIA operational summary

What it means

Priority 95/100

Rilevato sfruttamento attivo in rete di una vulnerabilità critica in GeoServer, già sanata dal vendor. La vulnerabilità, di tipo SQL Injection pre-autenticazione, consente l'esecuzione di codice arbitrario. È disponibile un PoC in rete, aumentando il rischio di attacchi su larga scala. Le versioni interessate sono 34.x < 34.5 e 33.x < 33.6.

Why it matters

Per le PMI italiane, la compromissione di sistemi GIS potrebbe portare alla perdita di dati sensibili e alla interruzione delle operazioni. La presenza di un PoC in rete aumenta il rischio di attacchi mirati, con impatti significativi sulla continuità operativa e sulla reputazione aziendale.

Recommended actions

  1. Aggiornare GeoServer a versione 34.5 o superiore
  2. Disabilitare o limitare l'accesso a endpoint OGC non necessari
  3. Applicare filtri di input e sanitizzazione dei dati in ingresso
  4. Configurare firewall per bloccare accessi non autorizzati a servizi GIS
  5. Implementare log dettagliati e monitoraggio delle richieste a GeoServer
  6. Eseguire backup regolari e test di ripristino

Sistemi e prodotti interessati

  • GeoServer 34.x < 34.5
  • GeoServer 33.x < 33.6

Cosa cercare (rilevamento)

  • Ricerca di query SQL non sanitate nei log di GeoServer
  • Monitoraggio di richieste WFS/WMS con parametri anomali
  • Analisi di errori SQL o risposte di database in contesti non previsti
  • Verifica di accessi non autorizzati a endpoint OGC
  • Controllo di log di accesso a database PostGIS
MITRE ATT&CKT1059 · Command and Scripting Interpreter *T1078 · Valid Accounts *T1059.001 · PowerShell *
Brief generato da un modello locale EudorIA (qwen3:8b@workstation-gpu) a partire dal testo della fonte. Verificare sulla fonte prima di decisioni operative; le tecniche con * sono inferite dal modello. La fonte indica un sfruttamento attivo e la disponibilità di un PoC, ma non fornisce dettagli sulle campagne specifiche o sulle vittime identificate.

Estratto della fonte usato dal modello

Rilevato sfruttamento di vulnerabilità in GeoServer Rilevato lo sfruttamento attivo in rete di una vulnerabilità con gravità “critica” - già sanata dal vendor - relativa a GeoTools, libreria Java open source alla base delle funzionalità GIS di GeoServer. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati. Rilevata inoltre la disponibilità in rete di un Proof of Concept (PoC) per la vulnerabilità che contribuisce ad aumentarne il rischio di sfruttamento su larga scala. Descrizione e potenziali impatti La vulnerabilità - di tipo "SQL Injection" pre-autenticazione e con score CVSS v3.1 pari 9.8 - risulta essere una regressione del codice che reintroduce un difetto logico già tracciato con l’identificativo CVE-2023-25158. La problematica interessa il componente gt-jdbc-postgis di GeoTools ed è causata da un'errata gestione degli input nella funzione jsonArrayContains, la quale consente l'inserimento di dati non sanitizzati nelle query SQL generate. Tramite richieste opportunamente predisposte verso endpoint OGC esposti da GeoServer, quali i servizi WFS e WMS, e configurati per utilizzare datastore PostGIS vulnerabili, un attaccante remoto potrebbe eseguire istruzioni SQL arbitrarie sul database sottostante e, in specifiche configurazioni dell'ambiente interessato, l'esecuzione di codice arbitrario, con conseguente compromissione del sistema target. Prodotti e versioni affette 34.x, v

Potential operational benefits

  • Riduzione della superficie esposta a attacchi SQL Injection
  • Maggiore sicurezza dei dati sensibili e dei sistemi GIS
  • Minimizzazione del rischio di compromissione del database
  • Miglioramento della capacità di rilevamento e risposta agli attacchi
Indications to confirm against the customer's technical and organisational perimeter.
Relevant controlsPatch managementSegmentazione di reteMonitoraggio / SIEMFirewall NGFW / IPSBackup & DR
AudienceITSOCCISO

Text acquired from the source

Rilevato lo sfruttamento attivo in rete di una vulnerabilità con gravità “critica” - già sanata dal vendor - relativa a GeoTools, libreria Java open source alla base delle funzionalità GIS di GeoServer. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati.

Source
ACN / CSIRT Italia
Publishing entity
ACN / CSIRT Italia
Entity type
National CSIRT
Area
Europe · IT
Original language
it · translation not needed
Publication
18/08/2026 12:37
MITRE ATT&CK
T1059, T1078, T1059.001
Classification
Critical
Stated country
IT

Action indicated by the source

Verificare con priorita esposizione e versioni interessate; applicare le mitigazioni indicate da ACN / CSIRT Italia.

Open the original source