🔥 Fique por dentro das novidades mais quentes do momento! 🔥
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Duas vulnerabilidades no GeoNetwork podem ser encadeadas para obter execução remota de código (RCE) não autenticada no catálogo de metadados geoespaciais de código aberto, que fica por trás de muitos geoportais governamentais e de agências.
O projeto enviou correções nas versões 4.4.12 e 4.2.17 em 8 de julho de 2026 e publicou os detalhes da vulnerabilidade em 31 de agosto.
GeoNetwork originou-se na Organização das Nações Unidas para Agricultura e Alimentação e é mantida pela Open Source Geospatial Foundation (OSGeo). É um componente central de muitas implantações de infraestrutura de dados espaciais em toda a Europa e além dela, incluindo o backend do geoportal europeu INSPIRE.
A cadeia combina uma verificação de autorização ausente com um mecanismo de transformação inseguro. A primeira falha, CVE-2026-63219 (pontuação CVSS: 8,6), é uma verificação de autorização ausente no endpoint de upload do formatador.
A falha de upload de arquivo não autenticado permite que um usuário anônimo grave arquivos arbitrários do formatador .xsl ou .zip no diretório do formatador GeoNetwork, o que, por si só, constitui acesso de gravação não autorizado ao armazenamento do servidor.
"Um invasor não autenticado pode fazer upload de arquivos arbitrários .xsl ou .zip para o servidor", disse o projeto no comunicado.
A segunda falha, CVE-2026-58400 (pontuação CVSS: 9,1), é uma configuração insegura do processador Saxon Extensible Stylesheet Language Transformations (XSLT) usado para renderizar formatadores.
O mecanismo é executado com o processamento seguro ativado e as funções de extensão Java desativadas, portanto, qualquer folha de estilo carregada pode chamar java.lang.Runtime.exec() ou java.lang.ProcessBuilder e executar comandos do sistema operacional como o usuário do processo GeoNetwork.
Por si só, essa segunda falha requer privilégios para carregar um formatador, e é por isso que é classificada como necessitando de privilégios elevados. Encadeá-lo com a falha de upload remove essa pré-condição, porque o upload pode ser acessado sem autenticação.
Um invasor primeiro carrega um formatador malicioso por meio do endpoint desprotegido. Uma solicitação GET de acompanhamento para um registro público aciona o mecanismo Saxon para executar a folha de estilo, que fornece a execução do código. O fornecedor de segurança Ethiack, cujo pesquisador Rafael Castilho relatou as falhas, disse que a cadeia pode ser acessada a partir da versão 4.0.6, quando o endpoint do formatador foi refatorado e a linha de autorização foi eliminada.
Ethiack disse que registrou 121 implantações de GeoNetwork expostas à Internet executando versões afetadas em 39 países, e que 89% delas eram relacionadas ao governo, ao exército ou a agências nacionais.
Esses números descrevem instâncias expostas que executam versões vulneráveis, não vítimas ou comprometimentos confirmados, e a impressão digital é de fonte única para o fornecedor.
Todas as versões 4.4.x até 4.4.11 inclusive e todas as versões 4.2.x até 4.2.16 inclusive são afetadas, e as falhas são corrigidas em 4.4.12 e 4.2.17.
“Todos os usuários são fortemente encorajados a atualizar para 4.4.12 ou 4.2.17 o mais rápido possível”, disse o projeto em seu anúncio de lançamento.
Até que a atualização seja aplicada, os administradores podem bloquear métodos de gravação no endpoint do formatador no proxy reverso, bloqueando assim uploads legítimos do formatador por meio do console de administração.
O comunicado lista as seguintes regras provisórias -
Apache httpd - nega solicitações POST, PUT e PATCH para o local /geonetwork/srv/api/formatters.
Nginx - restringe o mesmo local aos métodos GET, HEAD e OPTIONS .
As falhas foram corrigidas cerca de oito semanas antes da publicação dos avisos. O Hacker News não encontrou nenhuma referência às falhas da GeoNetwork no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA até o momento da divulgação, e nenhum relato público de exploração em estado selvagem.
A divulgação segue uma série de questões de segurança em toda a pilha geoespacial. No ano passado, uma falha crítica do GeoServer (CVE-2024-36401, pontuação CVSS: 9,8) foi explorada em botnets, mineradores de criptomoedas e no backdoor SideWalk, e uma falha de entidade externa XML do GeoServer (XXE) (CVE-2025-58360) foi adicionada ao catálogo KEV da CISA em dezembro de 2025 após evidências de exploração ativa. No mês passado, uma injeção separada de SQL não autenticada no RCE no GeoServer, divulgada como um dia zero do GeoServer, passou por investigação ativa logo depois de se tornar pública.
O projeto enviou correções nas versões 4.4.12 e 4.2.17 em 8 de julho de 2026 e publicou os detalhes da vulnerabilidade em 31 de agosto.
GeoNetwork originou-se na Organização das Nações Unidas para Agricultura e Alimentação e é mantida pela Open Source Geospatial Foundation (OSGeo). É um componente central de muitas implantações de infraestrutura de dados espaciais em toda a Europa e além dela, incluindo o backend do geoportal europeu INSPIRE.
A cadeia combina uma verificação de autorização ausente com um mecanismo de transformação inseguro. A primeira falha, CVE-2026-63219 (pontuação CVSS: 8,6), é uma verificação de autorização ausente no endpoint de upload do formatador.
A falha de upload de arquivo não autenticado permite que um usuário anônimo grave arquivos arbitrários do formatador .xsl ou .zip no diretório do formatador GeoNetwork, o que, por si só, constitui acesso de gravação não autorizado ao armazenamento do servidor.
"Um invasor não autenticado pode fazer upload de arquivos arbitrários .xsl ou .zip para o servidor", disse o projeto no comunicado.
A segunda falha, CVE-2026-58400 (pontuação CVSS: 9,1), é uma configuração insegura do processador Saxon Extensible Stylesheet Language Transformations (XSLT) usado para renderizar formatadores.
O mecanismo é executado com o processamento seguro ativado e as funções de extensão Java desativadas, portanto, qualquer folha de estilo carregada pode chamar java.lang.Runtime.exec() ou java.lang.ProcessBuilder e executar comandos do sistema operacional como o usuário do processo GeoNetwork.
Por si só, essa segunda falha requer privilégios para carregar um formatador, e é por isso que é classificada como necessitando de privilégios elevados. Encadeá-lo com a falha de upload remove essa pré-condição, porque o upload pode ser acessado sem autenticação.
Um invasor primeiro carrega um formatador malicioso por meio do endpoint desprotegido. Uma solicitação GET de acompanhamento para um registro público aciona o mecanismo Saxon para executar a folha de estilo, que fornece a execução do código. O fornecedor de segurança Ethiack, cujo pesquisador Rafael Castilho relatou as falhas, disse que a cadeia pode ser acessada a partir da versão 4.0.6, quando o endpoint do formatador foi refatorado e a linha de autorização foi eliminada.
Ethiack disse que registrou 121 implantações de GeoNetwork expostas à Internet executando versões afetadas em 39 países, e que 89% delas eram relacionadas ao governo, ao exército ou a agências nacionais.
Esses números descrevem instâncias expostas que executam versões vulneráveis, não vítimas ou comprometimentos confirmados, e a impressão digital é de fonte única para o fornecedor.
Todas as versões 4.4.x até 4.4.11 inclusive e todas as versões 4.2.x até 4.2.16 inclusive são afetadas, e as falhas são corrigidas em 4.4.12 e 4.2.17.
“Todos os usuários são fortemente encorajados a atualizar para 4.4.12 ou 4.2.17 o mais rápido possível”, disse o projeto em seu anúncio de lançamento.
Até que a atualização seja aplicada, os administradores podem bloquear métodos de gravação no endpoint do formatador no proxy reverso, bloqueando assim uploads legítimos do formatador por meio do console de administração.
O comunicado lista as seguintes regras provisórias -
Apache httpd - nega solicitações POST, PUT e PATCH para o local /geonetwork/srv/api/formatters.
Nginx - restringe o mesmo local aos métodos GET, HEAD e OPTIONS .
As falhas foram corrigidas cerca de oito semanas antes da publicação dos avisos. O Hacker News não encontrou nenhuma referência às falhas da GeoNetwork no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA até o momento da divulgação, e nenhum relato público de exploração em estado selvagem.
A divulgação segue uma série de questões de segurança em toda a pilha geoespacial. No ano passado, uma falha crítica do GeoServer (CVE-2024-36401, pontuação CVSS: 9,8) foi explorada em botnets, mineradores de criptomoedas e no backdoor SideWalk, e uma falha de entidade externa XML do GeoServer (XXE) (CVE-2025-58360) foi adicionada ao catálogo KEV da CISA em dezembro de 2025 após evidências de exploração ativa. No mês passado, uma injeção separada de SQL não autenticada no RCE no GeoServer, divulgada como um dia zero do GeoServer, passou por investigação ativa logo depois de se tornar pública.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #geonetwork #corrige #cadeia #rce #não #autenticada #que #afeta #backends #de #geoportais #governamentais
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário