В GeoNetwork закрыли цепочку уязвимостей для удалённого выполнения кода
Две ошибки позволяли неавторизованному пользователю загрузить вредоносный файл форматтера и запустить команды на сервере GeoNetwork. Обновления 4.4.12 и 4.2.17 вышли 8 июля.
Проект GeoNetwork исправил две уязвимости, сочетание которых позволяло удалённо выполнить произвольный код на сервере без аутентификации. GeoNetwork — каталог геопространственных метаданных с открытым исходным кодом, который используется в том числе как серверная часть государственных и ведомственных геопорталов.
Первая проблема, CVE-2026-63219 с оценкой CVSS 8,6, связана с отсутствием проверки прав доступа в точке загрузки форматтеров. Анонимный пользователь мог записать в каталог форматтеров на сервере произвольный файл .xsl или .zip.
Вторая уязвимость — CVE-2026-58400 с CVSS 9,1 — затрагивает конфигурацию процессора Saxon XSLT, применяемого для обработки форматтеров. Загруженная таблица стилей могла вызвать Java-функции для запуска системных команд от имени пользователя процесса GeoNetwork. Сама по себе эта ошибка требовала прав на загрузку форматтера, но первая уязвимость снимала это ограничение: атакующему было достаточно загрузить вредоносный файл, а затем обратиться к публичной записи, чтобы инициировать его обработку.
Затронуты все выпуски ветки 4.4 до 4.4.11 включительно и ветки 4.2 до 4.2.16 включительно. Исправления вошли в версии 4.4.12 и 4.2.17, выпущенные 8 июля 2026 года; подробности об уязвимостях опубликованы 31 августа. По данным исследователя Rafael Castilho из компании Ethiack, цепочка применима начиная с GeoNetwork 4.0.6, когда точку загрузки форматтеров переработали и из неё исчезла проверка авторизации.
Ethiack обнаружила 121 доступный из интернета экземпляр GeoNetwork с уязвимыми версиями в 39 странах. По оценке компании, 89% этих систем были связаны с государственными, военными или национальными ведомствами. Эти данные описывают найденные публичные установки, а не подтверждённые взломы. На момент раскрытия не было публичных сообщений об эксплуатации этих уязвимостей в реальных атаках.
Администраторам рекомендовано обновиться до исправленных версий. В качестве временной меры до установки обновления можно на уровне обратного прокси запретить методы POST, PUT и PATCH для пути /geonetwork/srv/api/formatters; при этом загрузка форматтеров через административную консоль также перестанет работать.