ハッカーが未修正のGeoServerゼロデイ脆弱性を悪用

攻撃対象領域管理を手がけるWatchTowr社によると、GeoServerの未修正ゼロデイ脆弱性について、脅威アクターが公表からわずか数時間後には悪用を開始していたということです。

このセキュリティ上の欠陥は、リモートコード実行(RCE)につながる可能性があるSQLインジェクションの問題とされており、水曜日にセキュリティ研究者のq1uf3ng氏によって公表されました。

同研究者がX上に投稿したポストによると、この脆弱性はGeoServerのjsonArrayContains関数に存在します。この関数はJSON配列フィールドに特定の値が含まれているかを確認するためのフィルタ式で、PostGISおよびOracle JDBCのデータストアと組み合わせて使用できます。

このSQLインジェクションは、ユーザーが指定した引数がデータベースクエリにエンコードされる前に適切にサニタイズされていないことが原因とみられ、特定の設定条件下ではRCEにつながります。

WatchTowr社によれば、脅威アクターはこの未修正のゼロデイ脆弱性が公になった直後から悪用を開始していたといいます。

WatchTowr社のジェイク・ノット氏は次のように述べています。「公表から数時間以内に悪用の試みを確認し始め、それ以降、少数の送信元IPアドレスから発せられた数百件の試行を記録しています。脆弱性が公開された途端、攻撃者がいかに素早く動くかを示す、また一つの事例と言えるでしょう」

脅威アクターはこれまでのところ、この脆弱性を悪用して脆弱なシステムを探査するにとどまっており、それ以降の追加的な攻撃活動は確認されていません。

「とはいえ、この状態が長く続くとは考えにくいでしょう。GeoServerはこれまでも標的にされてきた実績があり、大規模に悪用された複数の脆弱性がCISAの既知の悪用された脆弱性(KEV)カタログに掲載されています」とノット氏は述べています。

同氏はさらに、「現時点でパッチが提供されておらず、すでに悪用が進行していることを踏まえ、GeoServerを運用している組織はこの脆弱性を深刻に受け止めるべきです。可能な限り、外部に露出しているインスタンスを特定し、公開アクセスを制限したうえで、ベンダーによる修正の提供状況を注視する必要があります」と付け加えました。

GeoServerは地理空間データの共有・処理のための人気オープンソースプラットフォームであり、政府機関、農業、通信、交通など幅広い業界で利用されています。