CVE-2022-24816

JAI-EXT extiende Java Advanced Imaging, y su lenguaje de álgebra de rásters Jiffle compila los scripts suministrados por el usuario a bytecode Java usando el compilador Janino y luego los ejecuta. Cuando una aplicación permite que un script Jiffle llegue a través de la red, un atacante puede colar Java arbitrario dentro de ese código generado, de modo que se compile y ejecute en el propio proceso. El resultado es una ejecución remota de código no autenticada sin necesidad de trucos de corrupción de memoria, solo un script hostil introducido por una función que funciona según lo diseñado. El proyecto GeoServer es el consumidor downstream más destacado que lo hizo alcanzable en la práctica.

GeoServer es un servidor geoespacial de código abierto ampliamente implementado, con frecuencia expuesto a internet para publicar mapas y datos de entidades para gobiernos, empresas de servicios públicos y plataformas de cartografía, lo que convierte esta falla de la biblioteca en una exposición real para cualquiera que lo ejecute. Esta clase de error, evaluar expresiones o scripts controlados por el atacante del lado del servidor, ha sido una vía recurrente de compromiso en toda la pila de GeoServer. Actualice JAI-EXT a la versión 1.2.22 o posterior; si no puede, elimine el jar de janino del classpath para eliminar la capacidad de compilar scripts Jiffle, y audite cualquier endpoint que acepte transformaciones de renderizado o parámetros de vistas SQL.