GeoTools è una diffusa libreria open-source Java per la gestione e l’elaborazione di dati geospaziali. Questa vulnerabilità critica (CVE-2024-36404) rappresenta un grave rischio per la sicurezza delle applicazioni e dei sistemi che la utilizzano. Lo sfruttamento di questa vulnerabilità può consentire ad attaccanti remoti di compromettere i server, con impatti significativi a livello organizzativo e operativo. Con oltre 34.215 istanze esposte a livello globale, è necessaria un’azione immediata per mitigare il rischio.

Riassunto tecnico

La vulnerabilità risiede in una funzionalità di GeoTools che valuta espressioni XPath derivate da input dell’utente. Nelle versioni interessate, una sanitizzazione insufficiente degli input consente a un attaccante di iniettare ed eseguire espressioni XPath dannose, portando a un’esecuzione di codice remoto (RCE).

Dettagli tecnici:

• Impatto: Attaccanti remoti possono eseguire comandi arbitrari sul server, abilitando furto di dati, distribuzione di ransomware o movimento laterale all’interno delle reti.
• Componente vulnerabile: La vulnerabilità interessa in particolare le applicazioni che utilizzano il modulo gt-complex per l’interrogazione di contenuti complessi tramite XPath.
• Versioni interessate: Versioni di GeoTools precedenti alla 31.2, 30.4 e 29.6.
• Mitigazione:
  1. Aggiornare alle versioni correttive: 31.2, 30.4 o 29.6.
  2. Rimuovere il jar gt-complex, sebbene ciò disattivi funzionalità come l’interrogazione di contenuti complessi in datastore.
  3. In alternativa, sostituire GeoTools con i jar corretti disponibili su SourceForge per versioni precedenti specifiche.

Raccomandazioni

Per mitigare questa vulnerabilità:

1. Aggiornare GeoTools alle versioni correttive più recenti (31.2, 30.4 o 29.6).
2. Per ambienti in cui l’aggiornamento immediato non è possibile, implementare i seguenti workaround:
   • Rimuovere il jar gt-complex per ridurre le funzionalità.
   • Utilizzare jar corretti di GeoTools disponibili su SourceForge per versioni precedenti, assicurandosi di convalidarne l’integrità prima della distribuzione.