GeoServer : zero-day SQL injection sans auth exploité activement

Les faits

Le 12 août 2026, à 10h46 UTC, un chercheur en sécurité identifié sous le pseudonyme @q1uf3ng a divulgué publiquement une vulnérabilité critique dans GeoServer, la plateforme open source de gestion et de diffusion de données géospatiales. La faille est une injection SQL pré-authentifiée dans la fonctionnalité jsonArrayContains de GeoServer. Dans certaines configurations impliquant la base de données H2, cette injection SQL peut mener à une exécution de code à distance complète sur le serveur.

La divulgation a eu lieu avant la disponibilité d'un patch — une situation de zero-day qui laisse les administrateurs sans option de remédiation immédiate autre que la restriction d'accès. GeoServer a publié des versions correctives les 14 et 15 août 2026, soit 48 à 72 heures après la divulgation publique. Pendant cette fenêtre critique, les instances exposées sur Internet étaient vulnérables et activement sondées.

Les premières tentatives d'exploitation ont été observées dans les heures suivant la divulgation. La plateforme de threat intelligence watchTowr a signalé des centaines de sondes (probes) provenant d'un petit nombre d'adresses IP, suggérant des acteurs organisés disposant d'une infrastructure de scan dédiée, cherchant à profiter de la fenêtre d'exposition avant que les administrateurs n'aient eu le temps d'appliquer les mises à jour.

Techniquement, la vulnérabilité est une régression de CVE-2023-25158, une injection SQL critique (CVSS 9,8) corrigée en février 2023 aux côtés de CVE-2023-25157. Une régression signifie que le code vulnérable, déjà identifié et corrigé, a été réintroduit dans une version ultérieure du logiciel — lors d'une refactorisation ou de l'intégration d'une nouvelle fonctionnalité. Cette réapparition illustre l'importance critique des tests de régression de sécurité dans les cycles de développement logiciel.

La cause racine est l'insuffisance de la validation des entrées utilisateur dans jsonArrayContains. Les arguments fournis par l'utilisateur ne sont pas correctement assainis avant d'être encodés dans les requêtes de base de données. Sous certaines configurations — notamment avec H2 en mode local — cela permet d'injecter des commandes SQL arbitraires qui, via les fonctionnalités avancées de GeoServer, peuvent aboutir à l'exécution de commandes système sur le serveur sous-jacent. La chaîne complète SQLi vers RCE est documentée et des preuves de concept publics circulaient sur des forums spécialisés peu après la divulgation.

GeoServer est largement utilisé dans les secteurs public et privé pour la gestion et la diffusion de données géospatiales. Les utilisateurs typiques incluent les collectivités territoriales diffusant des données cartographiques, les entreprises de télécommunications gérant des cartes réseau, les acteurs de l'énergie cartographiant leurs infrastructures, et les organisations humanitaires ou environnementales partageant des données géographiques. La plupart de ces instances sont accessibles via une interface web publique, représentant une exposition potentielle importante face à une exploitation sans authentification.

Le profil des attaquants exploitant cette vulnérabilité reste à préciser. Les premières sondes documentées par watchTowr suggèrent du scanning opportuniste plutôt qu'une campagne APT ciblée. Cependant, la richesse des environnements gérés via GeoServer — données d'infrastructure critique, cartographies réseau, informations géospatiales sensibles — en fait une cible attractive pour des acteurs étatiques cherchant à cartographier les infrastructures de leurs adversaires ou à accéder à des informations stratégiques.

À la date du 18 août 2026, le correctif est disponible dans les versions GeoServer 2.25.5 et 2.26.2. Les administrateurs doivent considérer la mise à jour comme urgente. En attendant le patch, la mesure de mitigation principale consiste à restreindre l'accès aux endpoints affectés via un WAF ou à limiter les accès réseau aux seules adresses IP de confiance. La désactivation de jsonArrayContains peut constituer une mesure temporaire dans les environnements ne l'utilisant pas activement.

Impact et exposition

Toute instance GeoServer exposant les endpoints de requêtes complexes sur Internet est potentiellement vulnérable, en particulier celles utilisant des configurations H2. L'exploitation sans authentification supprime toute barrière d'entrée. Le secteur public, les collectivités territoriales et les organisations humanitaires — qui publient fréquemment des instances GeoServer accessibles publiquement — sont particulièrement exposés. Les plateformes de cartographie utilisées dans les secteurs de l'énergie et des télécommunications présentent également un risque élevé du fait de la sensibilité des données géospatiales d'infrastructure.

Recommandations

• Mettre à jour GeoServer vers la version 2.25.5 ou 2.26.2 immédiatement
• Restreindre l'accès réseau aux instances GeoServer aux seules IP de confiance si la mise à jour immédiate est impossible
• Déployer des règles WAF bloquant les tentatives d'injection SQL dans les paramètres GeoServer (cibler le paramètre jsonArrayContains)
• Auditer les logs d'accès GeoServer pour détecter des requêtes anormales depuis le 12 août 2026
• Inventorier toutes les instances GeoServer, y compris les déploiements non officiels sur des postes de développeurs