Duas vulnerabilidades no GeoNetwork podem ser combinadas para permitir execução remota de código, sem autenticação, no catálogo aberto de metadados geoespaciais que sustenta muitos geoportais de governos e agências.
O projeto lançou correções nas versões 4.4.12 e 4.2.17 em 8 de julho de 2026 e divulgou os detalhes das falhas em 31 de agosto.
O GeoNetwork surgiu na Organização das Nações Unidas para Agricultura e Alimentação e hoje é mantido sob a Open Source Geospatial Foundation (OSGeo). Ele é um componente central em muitas implantações de Infraestrutura de Dados Espaciais na Europa e em outras regiões, inclusive no backend do geoportal europeu INSPIRE.
A cadeia de exploração combina uma verificação de autorização ausente com um mecanismo de transformação inseguro. A primeira falha, CVE-2026-63219, com pontuação CVSS de 8,6, é a ausência de verificação de autorização no endpoint de envio de formatadores.
Essa falha de upload de arquivos sem autenticação permite que um usuário anônimo grave arquivos .xsl ou .zip arbitrários no diretório de formatadores do GeoNetwork, o que, por si só, já representa acesso não autorizado de gravação no armazenamento do servidor.
“Um atacante sem autenticação pode enviar arquivos .xsl ou .zip arbitrários para o servidor”, afirmou o projeto no comunicado de segurança.
A segunda falha, CVE-2026-58400, com pontuação CVSS de 9,1, é uma configuração insegura do processador Saxon Extensible Stylesheet Language Transformations (XSLT), usado para renderizar os formatadores.
O mecanismo opera com processamento seguro ativado e funções de extensão Java desabilitadas, de modo que qualquer folha de estilo carregada pode chamar java.lang.Runtime.exec() ou java.lang.ProcessBuilder e executar comandos do sistema operacional com os privilégios do processo do GeoNetwork.
Isoladamente, essa segunda falha exige permissão para enviar um formatador, motivo pelo qual recebeu classificação de necessidade de privilégios elevados. Ao combiná-la com a falha de upload, essa exigência desaparece, já que o envio pode ser feito sem autenticação.
Na prática, o atacante primeiro envia um formatador malicioso pelo endpoint desprotegido. Em seguida, uma solicitação GET a um registro público aciona o mecanismo Saxon para executar a folha de estilo, o que resulta em execução de código. A empresa de segurança Ethiack, cujo pesquisador Rafael Castilho reportou as falhas, informou que a cadeia é explorável a partir da versão 4.0.6, quando o endpoint de formatadores foi reestruturado e a linha de autorização acabou removida.
A Ethiack disse ter identificado 121 implantações do GeoNetwork expostas na internet executando versões afetadas em 39 países, e que 89% delas estavam ligadas a governos, forças militares ou agências nacionais.
Esses números se referem a instâncias expostas com versões vulneráveis, não a vítimas confirmadas nem a comprometimentos, e o mapeamento foi feito com base em uma única fonte, a própria empresa.
Todas as versões 4.4.x até a 4.4.11, inclusive, e todas as versões 4.2.x até a 4.2.16, inclusive, são afetadas. As correções foram aplicadas nas versões 4.4.12 e 4.2.17.
“Todos os usuários são fortemente incentivados a atualizar para a 4.4.12 ou a 4.2.17 o mais rápido possível”, disse o projeto no anúncio de lançamento.
Até que a atualização seja aplicada, administradores podem bloquear métodos de escrita no endpoint de formatadores no proxy reverso, impedindo também envios legítimos de formatadores pelo console administrativo.
O comunicado lista as seguintes regras temporárias:
Apache httpd: negar solicitações POST, PUT e PATCH para o caminho /geonetwork/srv/api/formatters.
Nginx: restringir o mesmo caminho apenas aos métodos GET, HEAD e OPTIONS.
As falhas foram corrigidas cerca de oito semanas antes da publicação dos comunicados. Até a divulgação, não havia referência às falhas do GeoNetwork no catálogo Known Exploited Vulnerabilities da CISA, nem registro público de exploração em ambiente real.
A divulgação ocorre em meio a uma sequência de problemas de segurança no ecossistema geoespacial mais amplo. No ano passado, uma falha crítica no GeoServer,
CVE-2024-36401
, com pontuação CVSS de 9,8, foi explorada para formar botnets, mineradores de criptomoedas e o backdoor SideWalk. Já uma falha de XML External Entity (XXE) no GeoServer,
CVE-2025-58360
, entrou no catálogo KEV da CISA em dezembro de 2025 após evidências de exploração ativa. No mês passado, uma injeção SQL sem autenticação em RCE no GeoServer, divulgada como um zero-day do GeoServer, passou a ser alvo de varreduras ativas pouco depois de se tornar pública.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...