GeoNetwork Tambal Celah Rantai Eksploitasi RCE Tanpa Otentikasi pada Backend Geoportal Pemerintah

Dua Celah Kritis GeoNetwork Membuka Akses Remote Code Execution Tanpa Otentikasi

Pengembang platform katalog metadata geospasial sumber terbuka (open-source) GeoNetwork merilis pembaruan keamanan darurat untuk menambal dua kerentanan kritis. Kedua celah keamanan ini dapat digabungkan menjadi rantai eksploitasi (exploit chain) yang memungkinkan penyerang tanpa otentikasi (Unauthenticated Remote Code Execution / RCE) mengambil alih kendali server secara penuh.

GeoNetwork merupakan komponen infrastruktur vital yang dikelola di bawah naungan Open Source Geospatial Foundation (OSGeo) dan digunakan secara luas di berbagai belahan dunia, termasuk menjadi fondasi backend bagi geoportal kementerian pemerintah, badan riset nasional, hingga infrastruktur data spasial Eropa (European INSPIRE Geoportal).

Mekanisme Rantai Serangan: Penggabungan Celah Upload dan Mesin XSLT Saxon

Rantai serangan ini tercipta dari perpaduan ketiadaan verifikasi otorisasi pada endpoint berkas dan konfigurasi pemrosesan XSLT yang rentan:

• Celah 1 — File Upload Tanpa Otentikasi (CVE-2026-63219, Skor CVSS 8.6): Akibat terhapusnya baris pemeriksaan izin saat pembaruan kode di versi 4.0.6, penyerang anonim dapat mengunggah berkas formatter berformat .xsl atau .zip arbitrer langsung ke dalam direktori penyimpanan server GeoNetwork.
• Celah 2 — Konfigurasi Tidak Aman Mesin XSLT Saxon (CVE-2026-58400, Skor CVSS 9.1): Mesin Extensible Stylesheet Language Transformations (XSLT) Saxon yang bertugas merender stylesheet dikonfigurasi dengan mengizinkan pemanggilan ekstensi fungsi Java bawaan. Hal ini memungkinkan skrip memanggil fungsi java.lang.Runtime.exec() atau ProcessBuilder untuk mengeksekusi instruksi sistem operasi sebagai pengguna proses GeoNetwork.

Jika berdiri sendiri, celah XSLT membutuhkan hak akses tingkat tinggi untuk mengunggah berkas. Namun, saat digabungkan dengan celah upload tanpa izin, penyerang dari internet publik dapat mengeksekusi kode secara instan tanpa memerlukan kredensial login apa pun.

Temuan Investigasi: 89% Server Terpapar Milik Lembaga Pemerintah & Militer

Firma keamanan siber Ethiack (penemu kerentanan ini melalui penelitinya, Rafael Castilho) mengungkap bahwa pemindaian sidik jari jaringan (fingerprinting) mendeteksi sedikitnya 121 deployment GeoNetwork yang terekspos langsung ke internet publik di 39 negara.

Dari total instansi yang teridentifikasi, sekitar 89 persen di antaranya berstatus sebagai sistem milik instansi pemerintah, militer, dan badan nasional.

Versi GeoNetwork yang Terdampak & Solusi Patch

Daftar versi GeoNetwork yang terkonfirmasi rentan mencakup:

• Seluruh lini rilis 4.4.x hingga versi 4.4.11
• Seluruh lini rilis 4.2.x hingga versi 4.2.16
• Seluruh versi terdahulu yang mengadopsi refactor endpoint formatter sejak versi 4.0.6

Pengelola server diimbau keras untuk segera memperbarui instalasi ke versi GeoNetwork 4.4.12 atau 4.2.17.

Panduan Mitigasi Sementara (Reverse Proxy Hardening)

Bagi tim IT yang belum dapat menerapkan upgrade secara instan di lingkungan produksi, terapkan pembatasan metode request HTTP pada lapisan reverse proxy (Nginx atau Apache):

• Aturan Nginx: Batasi lokasi /geonetwork/srv/api/formatters hanya untuk metode GET, HEAD, dan OPTIONS.
• Aturan Apache HTTPD: Tolak (deny) permintaan HTTP dengan metode POST, PUT, dan PATCH menuju jalur /geonetwork/srv/api/formatters.

Sumber Informasi

Artikel ini disusun berdasarkan buletin keamanan resmi GeoNetwork (OSGeo), laporan riset Ethiack, serta analisis The Hacker News.

🔗 Sumber asli: The Hacker News — GeoNetwork Fixes Unauthenticated RCE Chain Affecting Government Geoportal Backends