30秒で判断
- 対応すべき人:
org.geotools.jdbc:gt-jdbc-postgisを利用し PostGIS レイヤを扱うアプリ・GeoServer 系サーバの運用者 - 対応不要な人: GeoTools を使っていない、PostGIS データストアを利用していない、修正版へ更新済みの環境
- 確認方法: 依存関係で
gt-jdbc-postgisのバージョンを確認（Maven/Gradle の依存ツリー）
概要
地理情報ライブラリ GeoTools の gt-jdbc-postgis（PostGIS 連携）に、認証なしで SQL インジェクションが可能な脆弱性（GHSA-mqjf-5f49-2fjh、Critical、CWE-89）が公開されました。
jsonArrayContains フィルタ関数で入力が適切に検証されずクエリへ連結されるため、攻撃者が任意の SQL を実行し得ます。GeoTools は GeoServer など多くの地理情報サーバの基盤であり、外部からフィルタ条件を受け付ける構成が対象になり得ます。
本 Advisory は GHSA の深刻度ラベル Critical に基づきます。上記 CVSS 値は概略であり、正確なスコア・ベクトルは原文をご確認ください。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | None |
| Impact | 未認証 SQL インジェクション（データ侵害） |
| 深刻度 | Critical (GHSA) |
影響を受けるソフトウェア
| 製品 | 修正バージョン |
|---|---|
| org.geotools.jdbc:gt-jdbc-postgis | 33.6 / 34.5 / 35.1 |
修正バージョンと回避策
- 修正バージョン:
gt-jdbc-postgis33.6 / 34.5 / 35.1 以降（利用系列に合わせて更新） - 外部からフィルタ式を受け付ける経路がある場合は、更新までアクセス制御・入力検証で緩和してください。
関連リンク
データソース: GitHub Advisory Database, NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。