OSGeo JAI-EXT のコードインジェクションの脆弱性（CVE-2022-24816）

何が起きた

画像処理の部品 JAI-EXT（jt-jiffle）に、コードインジェクションと呼ばれる弱点が見つかりました。Jiffle というスクリプトをネットワーク経由で受け付けるプログラムでは、スクリプトが Janino という仕組みで Java のプログラムに変換されて実行されるため、攻撃者が仕掛けたコードを動かされる（リモートコード実行）おそれがあります。ネットワーク経由で、ログインしていない攻撃者でも悪用でき、利用者の操作も必要ありません。この部品を使う GeoServer が特に影響を受け、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

JAI-EXT の jt-jiffle を使い、Jiffle スクリプトをネットワーク経由で受け付けるプログラムが対象で、特に GeoServer が影響を受けます。GitHub の勧告では、影響を受けるのは 1.1.22 より前、修正版は 1.1.22 となっています。一方で、同じ勧告と NVD の説明の本文には「修正はバージョン 1.2.22 に入る」と書かれていて、番号が食い違っています。

何をすればいい

GitHub の勧告で修正版とされている 1.1.22 以降に更新されているか確認してください（本文では 1.2.22 とも書かれているため、使っている製品の公式の案内もあわせて確認してください）。すぐに更新できない場合は、janino-x.y.z.jar をクラスパスから外して、Jiffle スクリプトを変換できないようにする回避策があります。GeoServer を使っている場合は、GeoServer の公式の案内にも従ってください。

やることチェックリスト

• jt-jiffle を 1.1.22 以降に更新する
• 更新できなければ janino-x.y.z.jar を外す
• GeoServer の更新の有無を調べる

用語メモ

コードインジェクション

入力に攻撃者のプログラムを混ぜ込み、それを実行させる攻撃です。

リモートコード実行

離れた場所から、相手のコンピューターで好きなプログラムを動かすことです。

クラスパス

Java のプログラムが、使う部品（ファイル）を探しに行く場所の一覧です。