GeoNetworkに認証不要のRCE脆弱性チェーン、政府系ジオポータルなどに影響

要点

• 地理空間メタデータカタログ「GeoNetwork」において、認証なしでリモートコード実行（RCE）が可能となる脆弱性の連鎖が明らかになった。

• 認証チェックの欠落によるファイルアップロード不備とXSLTプロセッサの設定不備を組み合わせることで、OSコマンドの実行が可能になる。

• 調査により、ネット上に露出した脆弱なインスタンスの約89%が政府・軍・国家機関関連であることが判明している。

• 修正版となるバージョン4.4.12および4.2.17が公開されており、リバースプロキシによる暫定的な緩和策も案内されている。

• オープンソースの地理空間メタデータカタログソフトウェア「GeoNetwork」において、認証を経ずにリモートから任意のコードを実行できる重大な脆弱性の連鎖（チェーン）が修正されたことが明らかになった。セキュリティベンダーEthiackの研究者によって報告され、プロジェクト側が詳細なセキュリティアドバイザリを公開した。GeoNetworkは多くの政府機関や公的機関の地理情報ポータル（ジオポータル）のバックエンドとして採用されているため、管理者に対して速やかなアップデートの適用が呼びかけられている。

認証チェックの欠落とXSLT設定不備を組み合わせた攻撃手法

GeoNetworkは、国連食糧農業機関（FAO）で開発が始まり、現在はOpen Source Geospatial Foundation（OSGeo）のもとで維持管理されているオープンソースソフトウェアだ。欧州の「INSPIRE」ジオポータルをはじめ、世界各地の空間データ基盤（SDI）において中心的な役割を担っている。

今回の問題は、アクセス制御の欠落と安全ではない変換エンジンの挙動という、2つの個別の脆弱性を連鎖させることで発生する。

1つ目の脆弱性は「CVE-2026-63219」（CVSSスコア: 8.6）として追跡されているもので、フォーマッタ（データ整形機能）のアップロード用エンドポイントにおける認証チェックの欠落に起因する。この不備により、認証されていない匿名の攻撃者が任意の「.xsl」ファイルや「.zip」フォーマッタファイルをサーバーのフォーマッタ用ディレクトリへ直接書き込むことが可能となる。プロジェクト側はアドバイザリの中で「未認証の攻撃者がサーバーに任意の.xslまたは.zipフォーマッタファイルをアップロードできる」と説明している。

2つ目の脆弱性は「CVE-2026-58400」（CVSSスコア: 9.1）であり、フォーマッタの描画処理に使用されるSaxon XSLT（XML文書を変換・処理するための言語仕様）プロセッサの安全でない設定に起因する。このエンジンではセキュアプロセッシングが有効化されJava拡張機能が無効化された状態で稼働しているものの、読み込まれたスタイルシートから「java.lang.Runtime.exec()」や「java.lang.ProcessBuilder」を呼び出し、GeoNetworkプロセスの実行ユーザー権限でOSコマンドを実行できる状態になっていたという。

2つ目の脆弱性単体では本来、フォーマッタをアップロードするために高い権限が必要とされるため、単体での危険度評価は高特権を要するものとなっていた。しかし、認証不要でファイルを配置できる1つ目のアップロード脆弱性と組み合わせることでその前提条件が不要となり、外部から認証なしでリモートコード実行（RCE）が可能になるという。

攻撃の流れとリファクタリングによる脆弱性の混入

攻撃の流れとしては、まず攻撃者が認証の保護がないエンドポイントを介して悪意のあるフォーマッタをアップロードする。その後、公開されているレコードに対してGETリクエストを送信することでSaxonエンジンに当該スタイルシートを実行させ、コード実行を達成する。

脆弱性を報告したEthiackの研究者Rafael Castilho氏によると、この脆弱性チェーンはバージョン4.0.6以降で攻撃可能な状態になっていたという。バージョン4.0.6においてフォーマッタエンドポイントのリファクタリング（プログラム構造の再設計）が行われた際、認証をチェックする処理行が誤って脱落したことが原因だとされている。

影響を受けるバージョンと政府機関インスタンスの露出

本脆弱性の影響を受けるバージョンは以下の通りである。

• 4.4.x系: バージョン4.4.11以前のすべてのリリース
• 4.2.x系: バージョン4.2.16以前のすべてのリリース

開発プロジェクトは2026年7月8日に修正版となるバージョン4.4.12および4.2.17をリリースし、その約8週間後となる8月31日に脆弱性の詳細を公開した。リリース発表においてプロジェクト側は「すべてのユーザーに対し、可能な限り速やかに4.4.12または4.2.17へアップグレードすることを強く推奨する」と述べている。

また、Ethiackによるインターネット上のフィンガープリンティング調査（稼働環境の特定調査）では、39か国において影響を受けるバージョンを稼働させている公開インスタンスが121件特定された。同社の報告によれば、そのうちの89%が政府、軍、または国家機関に関連する組織のシステムであったという。ただし、この数値は脆弱なバージョンが外部に露出している状態を示した調査結果であり、実際に侵入や被害が確認された組織の数ではない点に留意が必要だとしている。

暫定的な緩和策と地理空間スタックにおけるセキュリティ状況

アップデートを直ちに適用できない環境に向け、プロジェクト側はリバースプロキシを利用した一時的な緩和策を提示している。リバースプロキシ側でフォーマッタエンドポイントへの書き込みリクエストを遮断することにより、攻撃を防ぐことが可能だ。ただし、この設定を行うと管理コンソールからの正当なフォーマッタアップロードも遮断される。

アドバイザリで案内されている具体的な暫定ルールは以下の通りだ。

• Apache httpd: /geonetwork/srv/api/formatters のパスに対する POST、PUT、PATCH リクエストを拒否（deny）する。
• Nginx: 同じパスに対するリクエストを GET、HEAD、OPTIONS メソッドのみに制限する。

なお、脆弱性情報が公開された時点で、米CISA（サイバーセキュリティ・インフラセキュリティ庁）のKEV（悪用が確認された脆弱性カタログ）への登録はなく、野生環境（実際の攻撃環境）での悪用報告も公には確認されていない。

今回の脆弱性公開は、地理空間ソフトウェア全般においてセキュリティ問題が続いている中で行われた。昨年にはオープンソースの地理空間サーバー「GeoServer」において重大な脆弱性（CVE-2024-36401、CVSSスコア: 9.8）がボットネットや暗号資産マイナー、SideWalkバックドアの感染に悪用されたほか、GeoServerのXML外部実体参照（XXE）の脆弱性（CVE-2025-58360）も実際の悪用が確認されたとして2025年12月にCISAのKEVカタログに追加されている。