La faille d’injection SQL non authentifiée pourrait conduire à l’exécution de code à distance sur certaines configurations de serveur.
Les chercheurs en sécurité ont constaté que des attaquants tentaient d’exploiter une vulnérabilité d’injection SQL actuellement non corrigée dans GeoServer, un serveur Web open source pour la gestion et la publication de données géospatiales.
Le logiciel est largement utilisé par des organisations dans de nombreux secteurs, notamment les secteurs du gouvernement, de la défense, des sciences, de l’éducation, de l’ingénierie et de la technologie, et a été la cible de pirates informatiques dans le passé.
Un chasseur de bug bounty a partagé la vulnérabilité mercredi X comme étant un jour zéro. Selon son message, la fonction contient une vulnérabilité qui permet à des utilisateurs non authentifiés d’injecter des commandes SQL dans la base de données.
Si la base de données s’exécute avec des autorisations d’administrateur sur Microsoft SQL Server, le compte a également la possibilité d’exécuter des commandes sur le système, de sorte que l’injection SQL devient un vecteur d’exécution de code à distance. Un autre utilisateur a confirmé sur X qu’il était capable de reproduire la faille dans une configuration autre que celle par défaut.
Jusqu’à présent, les chercheurs n’ont vu aucune charge utile ou commande malveillante envoyée, et les tentatives ressemblent davantage à des sondes visant à identifier les instances vulnérables de GeoServer. Cependant, cela est susceptible de changer ; GeoServer a toujours été exploité, car ses utilisateurs sont généralement considérés comme des cibles de grande valeur.
Jusqu’à ce qu’un correctif soit disponible, les organisations qui exécutent GeoServer doivent identifier leurs instances exposées à Internet et en restreindre l’accès public. Ils doivent également vérifier dans les journaux tout signe indiquant qu’une exploitation a déjà eu lieu.
