Stunden. Genau so lange dauerte es, bis die ersten Angreifer zuschlugen. Am 12. August machte ein Forscher auf X eine Lücke in GeoServer öffentlich — noch am selben Tag liefen die ersten Scans. Einen Patch gibt es bis heute NICHT.
GEFAHR! Was genau kaputt ist
Betroffen ist die Funktion jsonArrayContains. Über sie lässt sich eine SQL-Injection auslösen: Angreifer schleusen eigene Datenbank-Befehle ein, die der Server brav ausführt. Läuft die Datenbank mit einem hoch privilegierten Konto — dem berüchtigten sa-Benutzer — kann daraus Codeausführung auf dem Server werden.
Eine CVE-Nummer wurde bislang nicht vergeben. Das macht die Sache nicht harmloser, im Gegenteil: Ohne offizielle Kennung rutscht die Lücke durch viele automatische Warnsysteme durch.
Was ist GeoServer überhaupt?
GeoServer ist eine quelloffene Software, die Karten- und Geodaten im Netz bereitstellt. Behörden, Hochschulen, Ingenieurbüros und Verkehrsbetriebe nutzen sie — und im Homelab taucht sie überall dort auf, wo jemand eigene Karten, GPS-Tracks oder Grundstücksdaten visualisiert. Genau deshalb steht sie oft ungeschützt am offenen Internet.
SCHOCK: Hunderte Scan-Versuche
Ein Bedrohungsdaten-Anbieter beobachtete bereits Stunden nach der Veröffentlichung die ersten Ausnutzungsversuche. Am 13. August meldeten Forscher hunderte Anfragen, die gezielt nach verwundbaren GeoServer-Instanzen suchten — ausgehend von einer kleinen Gruppe IP-Adressen.
Bislang handelt es sich überwiegend um Abtasten: Die Angreifer sammeln erst einmal Ziele. Wer diese Woche nicht handelt, steht auf einer Liste, die später systematisch abgearbeitet wird. GeoServer war schon in der Vergangenheit ein beliebtes Ziel.
So schützt du dich in 5 MINUTEN
- Erreichbarkeit prüfen: Ist deine GeoServer-Weboberfläche aus dem Internet aufrufbar? Dann ist das jetzt dein größtes Problem.
- Zugang schließen: Nimm den Port aus der Portweiterleitung im Router oder sperre ihn in der Firewall. Zugriff nur noch über VPN oder aus dem lokalen Netz.
- Datenbank-Rechte kappen: GeoServer braucht in aller Regel KEIN Administrator-Konto auf der Datenbank. Ein Benutzer mit reinen Leserechten auf die nötigen Tabellen entschärft den schlimmsten Teil der Kette.
- Protokolle durchsehen: Suche in den Zugriffslogs nach ungewöhnlichen Anfragen mit
jsonArrayContainsim Parameter. - Update-Meldungen abonnieren: Sobald ein Fix erscheint, sofort einspielen.
EXTRA-TIPP: Die Grundregel dahinter
Diese Geschichte ist ein Lehrstück. Software mit Datenbank-Anbindung gehört nicht ungeschützt ins offene Internet — und schon gar nicht mit einem Datenbank-Konto, das alles darf. Wer beide Regeln befolgt, sitzt auch bei der nächsten unbekannten Lücke deutlich entspannter da. Aehnliche Muster gab es zuletzt bei der Metabase-Lücke mit CVSS 10.
FAZIT: Abschalten schlägt abwarten
Ohne Patch gibt es nur eine ehrliche Antwort: Zugriff einschränken. Das kostet fünf Minuten und rettet dir möglicherweise den kompletten Server.
Häufige Fragen
Welche GeoServer-Versionen sind betroffen?
Wie merke ich, ob mein System angegriffen wurde?
Wie behebe ich das Problem konkret?
Gab es schon aktive Angriffe?
Quellen
- The Hacker News: Unpatched GeoServer Zero-Day Targeted in Active Exploitation Attempts
- SecurityWeek: Hackers Exploiting Unpatched GeoServer Zero-Day
- CSO Online: Attackers target zero-day vulnerability in geospatial data platform GeoServer
- Field Effect: Early exploitation attempts observed of GeoServer zero day