GeoServer DB2 DataStore Extension has a JNDI Vulnerability via Store Connection
Summary
Administrator can perform JNDI attack through specially crafted DB2 jdbc url leading to Remote Code Execution (RCE).
Impact
If GeoServer has DB2 extension installed, this vulnerability can lead to executing arbitrary code.
Details
Authenticated users can access Vector Data Sources page to creating a new data store through db2 jdbc connection, performing JNDI attack due to unrestricted connection parameters, and then achieve RCE with deserialization of untrusted data.
Remediation
This issue has been fixed in this release: https://github.com/geoserver/geoserver/releases/tag/2.27.0.
References
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Java / Kotlin (Maven) | org.geoserver.extension:gs-db2 | < 2.27.0 | 2.27.0 |
Verweise
- https://github.com/geoserver/geoserver/security/advisories/GHSA-g628-r368-6vh7
- https://nvd.nist.gov/vuln/detail/CVE-2025-27511
- https://github.com/geoserver/geoserver
- https://github.com/geoserver/geoserver/releases/tag/2.27.0
- https://nvd.nist.gov/vuln/detail/cve-2023-27867
- https://osgeo-org.atlassian.net/browse/GEOT-7725
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H- Schwäche (CWE)
CWE-502, CWE-74- Plattform
- Java / Kotlin (Maven)
- Paket
org.geoserver.extension:gs-db2- Veröffentlicht
- 11.06.2026
- Aktualisiert
- 11.10.2026 12:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-g628-r368-6vh7 - CC BY 4.0
Schwachstellenhistorie: org.geoserver.extension:gs-db2
Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.