GeoServer & GeoTools SQL Injection (CVE-2023-25157 & CVE-2023-25158) — Laboratorio di Vulnerabilità & Report PoC

Ambiente di laboratorio vulnerabile (Vulnerable Lab) e report dettagliato di analisi e sfruttamento della vulnerabilità SQL Injection (Error-based) in GeoServer (CVE-2023-25157) e nella libreria GeoTools (CVE-2023-25158).

Report Dettagliato di Analisi e Sfruttamento

Consulta il documento di analisi completo, con immagini PoC che illustrano ogni livello, nel report ufficiale:

👉 Vedi il Report di Sfruttamento Dettagliato (REPORT.md)

(Il report include: il meccanismo dell'errore a livello di CQL Parser e SQL Translator, la spiegazione del formato OGC XML Filter, l'analisi dettagliata dei 4 vettori di attacco, i payload, le query SQL effettive eseguite sul database e le raccomandazioni di remediation.)

Informazioni sulla Vulnerabilità (Riepilogo Rapido)

Vettori di Attacco Analizzati

In questo lab sono stati verificati e analizzati in dettaglio 4 vettori di attacco reali in REPORT.md:

1. Vettore 1 (strStartsWith): sfruttamento tramite la funzione di controllo del prefisso della stringa in CQL_FILTER (HTTP GET).
2. Vettore 2 (strEndsWith): sfruttamento tramite la funzione di controllo del suffisso della stringa in CQL_FILTER (HTTP GET).
3. Vettore 3 (PropertyIsLike): sfruttamento tramite il tag del filtro standard OGC XML Filter manipolando il carattere di escape escape (HTTP POST) — vettore più pericoloso, attivo su tutte le configurazioni predefinite.
4. Vettore 4 (FeatureId): sfruttamento tramite il parametro di filtro per chiave primaria di tipo String quando preparedStatements = false.

Guida all'Avvio del Lab (Docker)

Requisiti

• Docker e Docker Compose installati sul sistema.

1. Avviare l'ambiente

Nella directory principale del progetto, apri il terminale ed esegui il comando:

docker compose up -d

Il sistema avvierà 2 container:

• Database PostGIS / PostgreSQL (contiene il database vulhub con le tabelle example e example_str).
• GeoServer 2.22.1 (con la connessione DataStore già configurata e i Feature Type target pubblicati).

2. Verificare lo stato

Controlla i log di GeoServer per assicurarti che il servizio sia stato avviato completamente:

docker compose logs -f geoserver

Quando appare il messaggio CONFIGURATION COMPLETE, puoi accedere a GeoServer su:

• URL Web UI: http://localhost:8080/geoserver/web/
• Account amministratore predefinito: admin / geoserver

3. Pulire l'ambiente dopo il test

Per arrestare i container e liberare le risorse:

# Spegne il lab (mantiene i dati del database)
docker compose down

# Spegne il lab ed elimina tutti i dati dei volumi
docker compose down -v

Struttura del Repository

├── REPORT.md               # Report dettagliato di analisi tecnica e PoC
├── docker-compose.yml      # Configurazione dell'ambiente lab GeoServer + PostgreSQL
├── init.sql                # Script di inizializzazione del database e dei dati di esempio per il lab
├── startup.sh              # Script di configurazione automatica di GeoServer all'avvio del container
└── img/                    # Directory contenente le immagini dimostrative del PoC