漏洞描述
GeoTools 是一个用于处理地理空间数据（如地理信息系统: GIS）的开源代码库，并且支持 OGC 过滤器表达式语言的解析和编码。PostGIS是PostgreSQL数据库的扩展程序，增加了数据库对地理对象的支持。PostGIS DataStore 为GeoTools的数据库。
GeoTools 受影响版本由于未对用户传入的 sql 语句有效过滤从而存在 SQL 注入漏洞，当使用 OGC 过滤器（由 JDBCDataStore 实现）处理用户sql语句时，攻击者可利用此漏洞查询或修改数据库中的任意数据。
开发者可通过在 PostGIS DataStore 中禁用 encode functions 或在 PostGIS 中启用 prepared statements 缓解此漏洞。
| 漏洞名称 | GeoTools 存在 sql 注入漏洞 |
|---|---|
| 漏洞类型 | SQL注入 |
| 发现时间 | 2023/2/23 |
| 漏洞影响广度 | 小 |
| MPS编号 | MPS-2023-3774 |
| CVE编号 | CVE-2023-25158 |
| CNVD编号 | - |
影响范围
org.geotools:gt-jdbc@[28.0, 28.2)
org.geotools:gt-jdbc@[2.6.6, 24.7)
org.geotools:gt-jdbc@[27.0, 27.4)
org.geotools:gt-jdbc@[25.0, 25.7)
org.geotools:gt-jdbc@[26.0, 26.7)
修复方案
升级org.geotools:gt-jdbc到 24.7 或 25.7 或 26.7 或 27.4 或 28.2 或更高版本
在 PostGIS DataStore 中禁用 encode functions 或在 PostGIS 中启用 prepared statements
参考链接
https://www.oscs1024.com/hd/MPS-2023-3774
https://nvd.nist.gov/vuln/detail/CVE-2023-25158
https://github.com/advisories/GHSA-99c3-qc2q-p94m
https://github.com/geotools/geotools/commit/64fb4c47f43ca818c2fe96a94651bff1b3b3ed2b
关于墨菲安全
墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。为客户提供从供应链资产识别管理、风险检测、安全控制、一键修复的完整控制能力。同时产品可以极低成本的和现有开发流程中的各种工具一键打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。
官网地址：https://www.murphysec.com/?sf=qbyj
开源项目：https://github.com/murphysecurity/murphysec/?sf=qbyj
