GeoNetwork corrige una cadena de RCE sin autenticación que afectaba a los servidores de fondo de los geoportales gubernamentales

Se han des­cu­bier­to dos vul­ne­ra­bi­li­da­des en la pla­ta­for­ma Geo­Net­work que, al com­bi­nar­se, per­mi­ten la eje­cu­ción re­mo­ta de có­di­go sin ne­ce­si­dad de au­ten­ti­ca­ción. Este ca­tá­lo­go de me­ta­da­tos geo­es­pa­cia­les de có­di­go abier­to es uti­li­za­do ha­bi­tual­men­te en in­fra­es­truc­tu­ras de datos es­pa­cia­les y res­pal­da los por­ta­les de di­ver­sos go­bier­nos y agen­cias, in­clu­yen­do el geo­por­tal eu­ro­peo INSPIRE.

La pri­me­ra falla con­sis­te en una falta de con­trol de au­to­ri­za­ción en el punto de ac­ce­so para la carga de for­ma­tea­do­res, lo que per­mi­te a usua­rios anó­ni­mos al­ma­ce­nar ar­chi­vos con ex­ten­sio­nes es­pe­cí­fi­cas en el ser­vi­dor. La se­gun­da de­bi­li­dad se debe a una con­fi­gu­ra­ción in­se­gu­ra del motor de trans­for­ma­ción de hojas de es­ti­lo en­car­ga­do de pro­ce­sar di­chos ar­chi­vos, el cual per­mi­te eje­cu­tar co­man­dos del sis­te­ma ope­ra­ti­vo. Al unir ambas fa­llas, un ata­can­te puede subir un ar­chi­vo ma­li­cio­so a tra­vés del end­point des­pro­te­gi­do y luego ac­ti­var su eje­cu­ción me­dian­te una so­li­ci­tud a un re­gis­tro pú­bli­co.

El pro­yec­to res­pon­sa­ble lanzó ac­tua­li­za­cio­nes para co­rre­gir ambos pro­ble­mas en ver­sio­nes es­pe­cí­fi­cas, re­co­men­dan­do a los usua­rios ac­tua­li­zar a la bre­ve­dad. Como me­di­da tem­po­ral de mi­ti­ga­ción antes de apli­car los par­ches, los ad­mi­nis­tra­do­res pue­den con­fi­gu­rar ser­vi­do­res proxy in­ver­sos para blo­quear cier­tos mé­to­dos de es­cri­tu­ra en la ruta del end­point afec­ta­do. Asi­mis­mo, se in­di­có que estas fa­llas an­te­ce­den a otros pro­ble­mas de se­gu­ri­dad re­cien­tes que han afec­ta­do a dis­tin­tos com­po­nen­tes del eco­sis­te­ma geo­es­pa­cial.