GeoServer tiene una vulnerabilidad de tipo SQL injection en la función jsonArrayContains que, según el investigador q1uf3ng, puede derivar en ejecución remota de código (RCE) cuando se usa con ciertas configuraciones de bases de datos.
Por qué importa: WatchTowr reporta intentos de explotación horas después de la divulgación pública, lo que eleva el riesgo para instancias expuestas hasta que haya un parche.
Lo esencial
- Falla: inyección SQL en la función jsonArrayContains de GeoServer.
- Explotación activa: WatchTowr observó cientos de intentos en horas tras la publicación.
- Alcance técnico: afecta consultas sobre campos JSON con PostGIS y Oracle JDBC.
jsonArrayContains: inyección SQL en un filtro de JSON
El investigador q1uf3ng describió la falla como una inyección SQL ligada a la función jsonArrayContains, que sirve para comprobar si un campo JSON array contiene determinados valores. El problema aparece cuando los argumentos proporcionados por el usuario no se sanitizan correctamente antes de incorporarse a consultas SQL.
En determinadas configuraciones de almacenes de datos la inyección puede escalar hasta permitir ejecución remota de código, según la explicación técnica publicada por el investigador.
Explotación activa horas después de la divulgación
La firma de gestión de superficie de ataque WatchTowr informó que, en cuestión de horas desde la divulgación pública, comenzaron a registrarse intentos de explotación. Jake Knott, de WatchTowr, indicó que se documentaron cientos de intentos originados en un pequeño conjunto de direcciones IP.
Por ahora esas interacciones se describen como sondeos dirigidos a detectar sistemas vulnerables; WatchTowr no reportó, hasta la publicación de la fuente, actividad de seguimiento más avanzada asociada a los intentos iniciales.
