概要

オープンソースの地理空間データ基盤GeoServerに、パッチが提供されていないゼロデイのSQLインジェクション脆弱性が発見され、公開からわずか数時間で悪用の試みが本格化していることが明らかになった。脆弱性は8月12日10:46 UTC、研究者「@q1uf3ng」がX（旧Twitter）上でバグバウンティの一環として公開したもので、記事執筆時点でもCVE番号は採番されておらず、ベンダーからの修正パッチも未提供の状態が続いている。GeoServerは政府、国防、科学、教育、工学・技術分野など幅広い業界で利用されており、影響範囲の広さが懸念されている。

セキュリティ企業watchTowrのプリンシパルセキュリティリサーチャーであるJake Knott氏によると、脆弱性の公開後、少数の発信元IPアドレスから数百件に及ぶ悪用試行がすでに観測されている。ただし現時点では攻撃者はエラーを発生させるだけで、悪意あるペイロードの投入やコマンド実行までは至っておらず、脆弱なインスタンスを洗い出すための偵察活動の段階にあるとみられる。Knott氏は「この状況が長く続くとは考えにくい」と警告しており、GeoServerが過去に大規模な悪用を受けてきた経緯を踏まえると、攻撃がより深刻な段階へ移行するのは時間の問題だとの見方を示している。

技術的な詳細

脆弱性はGeoServerのjsonArrayContains関数に存在し、認証なしでユーザーが任意のSQLコマンドをデータベースに注入できる。通常の設定であれば影響はデータ漏洩や改ざんにとどまる可能性があるが、Microsoft SQL Server上でデータベースが管理者権限のアカウントで稼働している構成では、SQLインジェクションがシステムコマンドの実行ベクトルへと昇格し、リモートコード実行（RCE）にまで発展し得る。記事では、別の研究者がデフォルト以外の設定でこの欠陥の再現に成功したことも報告されており、実環境での悪用可能性が裏付けられた形だ。

過去の悪用実績と背景

GeoServerはこれまでにも複数の脆弱性がCISAの既知悪用脆弱性（KEV）カタログに登録されており、2024年にはCVSSスコア9.8の深刻な脆弱性CVE-2024-36401がDDoSボットネットや暗号資産マイニングの目的で武器化された実績がある。このような経緯から、GeoServerの脆弱なインスタンスは攻撃者にとって価値の高い標的とみなされており、今回のゼロデイも同様の大規模悪用に発展するリスクが指摘されている。

対策と今後の見通し

パッチが存在しない現状において、専門家は組織に対し、インターネットに公開されているGeoServerインスタンスを速やかに特定し、可能な限り公開アクセスを制限するよう推奨している。あわせて、すでに悪用の痕跡がないかログを点検することも重要だとされる。ベンダーからの正式な修正パッチが提供されるまでの間、露出したインスタンスは持続的なリスクにさらされることになり、状況の推移を注視する必要がある。