CVE-2026-58400CriticalCVSS: 9.1

GeoNetwork: Kritische Remote-Codeausführung (CVE-2026-58400)

GeoNetwork ist eine Kataloganwendung zur Verwaltung räumlich referenzierter Ressourcen. Vor den Versionen 4.4.12 und 4.2.17 ist der zur Darstellung von Formatern genutzte Saxon-XSLT-Prozessor ohne sichere Verarbeitung (`FEATURE_SECURE_PROCESSING`) und ohne Deaktivierung der Java-Erweiterungsfunktionen konfiguriert. Dadurch kann beliebiger Code über `java.lang.Runtime.exec()` bzw. `java.lang.ProcessBuilder` mit den Rechten des GeoNetwork-Prozessbenutzers ausgeführt werden. Die Schwachstelle wurde in GeoNetwork 4.4.12 und 4.2.17 behoben.

METADATEN

Entdeckt:: 03.09.2026
Patch verfügbar:: Ja

BETROFFENE SYSTEME

•geonetwork core-geonetwork 4.3.0
•geonetwork core-geonetwork < 4.4.12
•geonetwork core-geonetwork < 4.2.17

Zusammenfassung

In GeoNetwork, einer Kataloganwendung zur Verwaltung räumlich referenzierter Ressourcen, besteht eine kritische Schwachstelle (CVE-2026-58400) mit einem CVSS-Score von 9.1 (kritisch). Vor den Versionen 4.4.12 und 4.2.17 ist der zur Darstellung von Formatern genutzte Saxon-XSLT-Prozessor ohne sichere Verarbeitung (FEATURE_SECURE_PROCESSING) und ohne Deaktivierung der Java-Erweiterungsfunktionen (ALLOW_EXTERNAL_FUNCTIONS) konfiguriert. Jedes von GeoNetwork geladene Stylesheet kann dadurch direkt java.lang.Runtime.exec() oder java.lang.ProcessBuilder aufrufen und eine beliebige Befehlsausführung (Remote Code Execution) mit den Rechten des GeoNetwork-Prozessbenutzers erreichen.

Technische Details

Die Schwachstelle betrifft die unsichere Konfiguration des Saxon-XSLT-Prozessors, der für die Darstellung von Formatern verwendet wird. Da FEATURE_SECURE_PROCESSING nicht aktiviert und ALLOW_EXTERNAL_FUNCTIONS nicht deaktiviert ist, können geladene Stylesheets direkt java.lang.Runtime.exec() oder java.lang.ProcessBuilder aufrufen und so beliebige Betriebssystembefehle ausführen.

Ein Benutzer mit ausreichenden Rechten zum Hochladen eines Formatters kann eine .xsl-Datei bereitstellen, die Java-Erweiterungsaufrufe enthält, die beliebige Betriebssystembefehle mit den Rechten des GeoNetwork-Prozesses ausführen. Die Schwachstelle wird den Schwachstellenklassen CWE-94 (unsachgemäße Kontrolle der Code-Erzeugung (‘Code Injection’)) und CWE-470 (Verwendung extern kontrollierter Eingaben zur Auswahl von Klassen oder Code (‘Unsichere Reflexion’) zugeordnet.

Betroffene Systeme

geonetwork core-geonetwork 4.3.0
geonetwork core-geonetwork < 4.4.12
geonetwork core-geonetwork < 4.2.17

Empfehlungen und Maßnahmen

Ein Patch ist verfügbar: Die Schwachstelle ist in GeoNetwork 4.4.12 und 4.2.17 behoben. Alle Nutzer werden dringend aufgefordert, so schnell wie möglich auf eine dieser gepatchten Versionen zu aktualisieren. Zusätzlich wird empfohlen, die sichere Verarbeitung (FEATURE_SECURE_PROCESSING) des Saxon-XSLT-Prozessors zu aktivieren und die Java-Erweiterungsfunktionen (ALLOW_EXTERNAL_FUNCTIONS) zu deaktivieren und den Upload von Formattern auf vertrauenswürdige Benutzer zu beschränken.