GeoTools 存在 sql 注入漏洞

漏洞描述

GeoTools 是一个用于处理地理空间数据（如实现地理信息系统: GIS）的开源代码库，并且支持 OGC 过滤器表达式语言的解析和编码，PostGIS DataStore 为GeoTools数据库。

GeoTools 受影戏版本未对用户传入的 sql 字符进行有效过滤，当使用 JDBCDataStore 实现的 OGC 过滤器处理用户sql语句时存在 SQL 注入漏洞，攻击者可利用此漏洞获取系统数据库数据信息。

用户可通过在 PostGIS DataStore 中禁用 encode functions 或在 PostGIS 中启用 prepared statements 缓解此漏洞。

漏洞名称	GeoTools 存在 sql 注入漏洞
漏洞类型	SQL注入
发现时间	2023-02-23
漏洞影响广度	小
MPS编号	MPS-2023-3774
CVE编号	CVE-2023-25158
CNVD编号	-

影响范围

org.geotools:gt-jdbc@[28.0, 28.2)

org.geotools:gt-jdbc@[2.6.6, 24.7)

org.geotools:gt-jdbc@[27.0, 27.4)

org.geotools:gt-jdbc@[25.0, 25.7)

org.geotools:gt-jdbc@[26.0, 26.7)

修复方案

升级org.geotools:gt-jdbc到 24.7 或 25.7 或 26.7 或 27.4 或 28.2 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-3774

https://nvd.nist.gov/vuln/detail/CVE-2023-25158

https://github.com/advisories/GHSA-99c3-qc2q-p94m

https://github.com/geotools/geotools/commit/64fb4c47f43ca818c2fe96a94651bff1b3b3ed2b

    

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球*开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc