14 sierpnia projekt GeoServer wypuścił trzy nowe wydania aplikacji: 3.0.1, 2.28.5 oraz 2.27.6. Wszystkie te aktualizacje łatają podatność SQL injection w funkcji filtrującej jsonArrayContains na warstwach PostGIS.
Luka nie siedziała w samym GeoServerze, tylko w komponencie GeoTools, w module gt-jdbc-postgis. Skala problemu (CVSS) w zakresie 0-10 to 9.8 (czyli jest się czym przejmować). Atakujący może wykorzystać dziurę przez internet, bez logowania, bez interakcji użytkownika. Podatne są wersje GeoTools od 33.1, od 34.0 oraz 35.0, a poprawione to 33.6, 34.5 i 35.1. Warunek wystąpienia: kolumna typu text albo json i PostGIS w wersji 12 lub wyższej.
Co zrobić?
Sprawdź wersję w panelu administracyjnym. Jeżeli masz starszą wersję to podnieś ją najlepiej do 3.0.1. Jeżeli masz 2.27.x, to 2.27.6 jest łatką dla serii, która już zakończyła wsparcie, więc autorzy każą traktować ją jako środek przejściowy i zaplanować przejście na wydanie stabilne albo utrzymaniowe.
Źródła: