GeoServer zero-day sotto attacco: la regression che rivela crepe…

Threat actors hanno iniziato a sondare un SQL injection zero-day in GeoServer entro poche ore dalla pubblica disclosure del 12 agosto 2026. La vulnerabilità

Il 12 agosto 2026 alle 10:46 UTC, il ricercatore q1uf3ng ha reso pubblica su X un SQL injection zero-day in GeoServer. Entro poche ore, WatchTowr ha registrato centinaia di tentativi di exploit provenienti da un numero ridotto di indirizzi IP. La vulnerabilità, catalogata con advisory GHSA-mqjf-5f49-2fjh e punteggio CVSS 9.8, non era nuova: era una regression di CVE-2023-25158, già patchata nel febbraio 2023.

Punti chiave

La funzione jsonArrayContains di GeoServer scrive input utente direttamente in SQL generato senza escaping, permettendo iniezione arbitraria su sistemi con PostGIS 12 o superiore.
WatchTowr ha osservato centinaia di tentativi di exploitation da una manciata di IP entro poche ore dalla disclosure, con attività limitata alla ricognizione e al trigger di errori.
In configurazioni con account database privilegiato — come l'account sa su Microsoft SQL Server — l'iniezione SQL si traduce in remote code execution, secondo la dimostrazione del ricercatore.
La vulnerabilità è una regression di CVE-2023-25158 (CVSS 9.8), identica nella forma al difeso corretto nel 2023, sollevando interrogativi sulla robustezza del security testing in progetti geospatial critici.

Il meccanismo della regression: come un difeso già patchato è tornato identico

Il package Maven affetto è org.geotools:gt-jdbc-postgis. Nella funzione jsonArrayContains(column, pointer, value), il parametro value viene inserito direttamente nella query SQL generata senza alcun escaping. Questo comportamento, secondo i maintainer del progetto GeoServer, replica esattamente la vulnerabilità corretta tre anni prima con CVE-2023-25158 e CVE-2023-25157, entrambe con punteggio CVSS 9.8.

Il requisito per l'exploitabilità attiva è PostGIS 12 o superiore, con campo di tipo String o JSON. La natura della regression suggerisce che il fix del 2023 non abbia coperto tutti i percorsi di chiamata della funzione, o che una successiva modifica del codebase abbia reintrodotto il pattern vulnerabile senza che i test di sicurezza lo rilevassero.

La velocità di weaponization: da disclosure a scanning in ore

Jake Knott, principal security researcher di WatchTowr, ha dichiarato testualmente: "Within hours of public disclosure, we began observing exploitation attempts and have since recorded hundreds of attempts originating from a small number of source IP addresses. Yet another example of how quickly attackers move once a vulnerability enters the public domain."

Al momento iniziale della disclosure, GeoServer non aveva rilasciato patch. I maintainer hanno successivamente distribuito le versioni corrette 3.0.1, 2.28.5 e 2.27.6, come confermato da Jody Garnett di GeoCat. L'intervallo senza fix ha creato una finestra di esposizione massima per le organizzazioni con istanze esposte su Internet.

"Currently, we're seeing attackers probe to identify vulnerable systems across the internet, triggering errors and not proceeding further" — Jake Knott, WatchTowr

Da SQL injection a RCE: quando la configurazione amplifica il rischio

La gravità del difeso non risiede unicamente nell'esfiltrazione dati. Il ricercatore q1uf3ng ha evidenziato che "in the case of the sa [system administrator] database, it's naturally possible to achieve RCE". CSO Online ha confermato che un altro ricercatore ha riprodotto la vulnerabilità in configurazione non-default.

Questo scenario richiede che l'istanza GeoServer operi con privilegi elevati sul database sottostante — una condizione non universale, ma presente in ambienti enterprise dove la separazione dei privilegi non è stata implementata in modo rigoroso. L'impatto effettivo dipende quindi dall'hardening della specifica installazione, non dalla sola presenza del software.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dalle indicazioni delle fonti primarie:

Aggiornare immediatamente alle versioni 3.0.1, 2.28.5 o 2.27.6, che secondo i maintainer e GeoCat contengono il fix per la regression.
Identificare e inventariare tutte le istanze GeoServer esposte su Internet, dato che la ricognizione attiva è in corso e il software è storicamente bersagliato a scala.
Limitare l'accesso pubblico alle istanze non aggiornabili in tempi brevi, riducendo la superficie di attacco fino all'applicazione della patch.
Monitorare i log per richieste anomale che triggerino errori SQL, indicativo della fase di probing documentata da WatchTowr.

Il pattern ricorrente e le domande sul ciclo di sviluppo sicuro

GeoServer ha un catalogo documentato di vulnerabilità entrate nel registro KEV di CISA, con CVE-2024-36401 (CVSS 9.8) già sfruttata nel 2024 per botnet DDoS, crypto-mining e proxy residenziali. La presenza di una regression critica a tre anni di distanza introduce un elemento sistemico nel dibattito sulla sicurezza delle infrastrutture geospatial open source.

Il progetto serve settori dove i dati spaziali sono classificati o sensibili: governo, difesa, utilities, trasporti, ricerca scientifica. La fragilità del testing di sicurezza su un componente già noto per avere vulnerabilità strutturali simili non è un limite tecnico isolato, ma un indicatore di rischio per le organizzazioni che dipendono da questi strumenti.

Knott ha messo in guardia sullo sviluppo futuro: "However, this is unlikely to remain the case for long: GeoServer has a track record of being targeted and exploited at scale, with multiple vulnerabilities listed in CISA's Known Exploited Vulnerabilities catalog." La fase ricognitiva attuale, sottolinea, è preludio a exploitation più aggressiva.

Il dossier non quantifica il numero di istanze esposte su Internet, non identifica gli operatori dietro i tentativi di sfruttamento, e non documenta compromissioni confermate oltre alla ricognizione. Se un CVE formale è stato assegnato successivamente alla disclosure iniziale, le fonti analizzate non lo riportano.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti