Alerta de Vulnerabilidade - GeoNetwork

Foram identificadas 2 vulnerabilidades no GeoNetwork, catálogo de metadados geoespaciais open-source mantido pela Open Source Geospatial Foundation (OSGeo) e utilizado como backend de diversos geoportais e infraestruturas de dados espaciais [1][2][7]. Encadeadas, permitem execução de código remoto sem autenticação [7]. São afetadas as versões 4.3.0 até 4.4.11 e até 4.2.16, inclusive, com a cadeia alcançável desde a 4.0.6 [2][5][6][7]; a correção consta das versões 4.4.12 e 4.2.17, disponibilizadas a 8 de julho de 2026 [1][2]. As vulnerabilidades são:

• CVE-2026-63219/EUVD-2026-70647 [1][3][5]: ausência de verificação de autorização (Missing Authorization, CWE-862) no endpoint de upload de formatters. Um atacante não autenticado pode escrever ficheiros de formatter .xsl ou .zip arbitrários no diretório de formatters do servidor.
• CVE-2026-58400/EUVD-2026-70645 [2][4][6]: controlo indevido da geração de código (Code Injection, CWE-94) e uso de input externo para selecionar classes ou código (Unsafe Reflection, CWE-470), decorrentes da configuração do processador XSLT Saxon sem secure processing (FEATURE_SECURE_PROCESSING) e sem desativação das funções de extensão Java (ALLOW_EXTERNAL_FUNCTIONS). Qualquer stylesheet carregado pode invocar java.lang.Runtime.exec() ou java.lang.ProcessBuilder e executar comandos do sistema operativo com os privilégios do processo GeoNetwork.

Isoladamente, o CVE-2026-58400/EUVD-2026-70645 exige privilégios para carregar um formatter. O encadeamento com a CVE-2026-63219 remove esse pré-requisito, uma vez que o upload é alcançável sem autenticação [2][7]. Um atacante remoto e não autenticado carrega um formatter malicioso através do endpoint desprotegido e, com um pedido GET subsequente a um registo público, desencadeia a renderização pelo Saxon, que executa o stylesheet e resulta em execução de código no contexto do processo GeoNetwork [7]. A cadeia é alcançável desde a versão 4.0.6, quando o endpoint de formatters foi reestruturado e a verificação de autorização deixou de ser aplicada [7].

Recomenda-se a atualização para o GeoNetwork 4.4.12 ou 4.2.17, ou versão posterior [1][2].

Medidas adicionais recomendadas:

• Até à atualização, bloquear os métodos de escrita no endpoint de formatters ao nível do reverse proxy, negando os pedidos POST, PUT e PATCH ao caminho /geonetwork/srv/api/formatters, no Apache httpd através de uma diretiva Limit e no Nginx através de limit_except restringindo a GET, HEAD e OPTIONS; esta medida bloqueia igualmente o upload legítimo de formatters por administradores autenticados através da consola até à aplicação da correção [1];
• Restringir o acesso à interface de administração e aos endpoints do GeoNetwork a redes de confiança e reforçar a monitorização dos logs de acesso ao endpoint de formatters [1];
• Após a atualização, procurar ficheiros .xsl ou .zip não legítimos no diretório de formatters e sinais de execução de comandos a partir do processo GeoNetwork [2][7].

[1] - https://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-mh22-prqr-vf42
[2] - https://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-x898-729x-cc3r
[3] - https://nvd.nist.gov/vuln/detail/CVE-2026-63219
[4] - https://nvd.nist.gov/vuln/detail/CVE-2026-58400
[5] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-63219
[6] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-58400
[7] - https://ethiack.com/info-hub/research/geonetwork-preauth-RCE