-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : ZeroDay Kwetsbaarheid verholpen in GeoTools door OpenGeo
Advisory ID     : NCSC-2026-0304
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2023-25158
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Special Elements used in an
                  SQL Command ('SQL Injection')
Uitgiftedatum   : 20260818
Toepassing      : GeoTools GeoTools
Versie(s)       :
Platform(s)     :

Beschrijving
   GeoTools, een veelgebruikte open source Java-bibliotheek voor
   geospatiale data, heeft updates uitgebracht om ZeroDay SQL-injectie
   kwetsbaarheid te verhelpen in de uitvoering van OGC Filterfuncties
   bij gebruik met JDBCDataStore en andere datastores.

   De genoemde kwetsbaarheid is een oudere kwetsbaarheid, waarvan
   recentelijk is gebleken dat deze niet adequaat is verholpen. De
   kwetsbaarheid stelde een kwaadwillende in staat om willekeurige SQL-
   code uit te voeren in de onderliggende database.
   De ZeroDay kwetsbaarheid bevindt zich in meerdere OGC Filterfuncties
   die SQL-injectie mogelijk maken bij gebruik met verschillende
   datastore-implementaties zoals PostGIS. Hierdoor kan een aanvaller
   via deze functies kwaadaardige SQL-code injecteren. De kwetsbaarheden
   zijn aanwezig in meerdere versies van GeoTools. Als gedeeltelijke
   mitigatie kunnen encode-functies worden uitgeschakeld en prepared
   statements worden ingeschakeld om de blootstelling te verminderen.
   Indien de onderliggende database draait onder verhoogde rechten, is
   het mogelijk om via deze kwetsbaarheid willekeurige code uit te
   voeren op de server, waardoor naast ongeautoriseerde database-
   manipulatie, ook een system take-over mogelijk kan zijn.
   Onderzoekers hebben meldingen ontvangen dat kwaadwillenden de nieuwe
   ZeroDay onder de aandacht hebben en nemen een verhoging waar in scan-
   en misbruikverkeer. Op dit moment is van grootschalige
   ongeautoriseerde toegang of daadwerkelijk misbruik nog geen sprake.
   Voor deze nieuwe ZeroDay kwetsbaarheid is (nog) geen CVE-id bekend
   gesteld.

Mogelijke oplossingen
   De leverancier heeft updates uitgebracht in versies 35.1, 34.5 en
   33.6 om deze beveiligingsproblemen aan te pakken. Zie bijgevoegde
   referenties voor meer informatie.

   Referenties:
      Reference
      https://github.com/geotools/geotools/security/advisories/GHSA-
      mqjf-5f49-2fjh

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----

iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmqEG4IACgkQgupWoL0Z
hGGAawwAiPerZsDlHiBdA+s3wTWXlA2rK3DD36goZ1erKUl+YRqfJIbikRI+1nn/
8hWAw0LFQc0kTcvcEUWcHqYykdwctLXo8LW0B831VTyQrEcGP+Xzki8MIsWN85Pf
1DvZKHERF6Hr9DG6cRwyDVKE6xaGmqN8HJ2Wy2Ab/ROKSA+znPvlNfxyOfZZGybT
yS2XVfMTuBDHjGJ5JIcj3X1F883d08ePDuB5kOcdjhoYZBRcGi1kYJepShJtA5xd
dzjzaIZv1LF5M1zAf+HU48UO5JHdWaV8Im8Hs0hF3TrCdMtyNNRQW1ZYZNI+1Sed
mJmyJVf8iqKVlrzXbXaE8jbzsnTs6T3V1YcJcGbwYj8iX1I2sEkrCWCgd8gr8d2W
ZJS+CKzXCrK0EY6YxqOC0pKclL1moXSsPKXEV0pvJQhKlZYpSfUz+ZpVgVKegt37
MieT58bl/uLdb3wkAW6Iwwk0wFPfgXHbK8bsJnQtEDRfrtKntHqVphOh5TYPFnHq
fDKgkHOA
=7XgO
-----END PGP SIGNATURE-----