La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó el jueves una vulnerabilidad de alta gravedad que afecta a OSGeo GeoServer a su catálogo de vulnerabilidades explotadas conocidas (KEV), basándose en evidencia de explotación activa en la naturaleza.
La falla de seguridad en cuestión es CVE-2025-58360 (Puntuación CVSS: 8.2), una falla de entidad externa XML (XXE) no autenticada que afecta a todas las versiones anteriores a la 2.25.5 inclusive, así como a las versiones 2.26.0 a 2.26.1. Ha sido parcheado en las versiones 2.25.6, 2.26.2, 2.27.0, 2.28.0 y 2.28.1. A la plataforma de detección de vulnerabilidades basada en inteligencia artificial (IA), XBOW, se le atribuyó el mérito de informar del problema.
“OSGeo GeoServer contiene una restricción ilegal en la vulnerabilidad de referencia de entidad XML externa que ocurre cuando la aplicación acepta entrada XML a través de una operación GetMap de punto final /geoserver/wms específico y podría permitir a un atacante definir entidades externas dentro de la solicitud XML”, dijo CISA.
Los siguientes paquetes se ven afectados por el error:
- docker.osgeo.org/geoserver
- org.geoserver.web:gs-web-app (Maven)
- org.geoserver:gs-wms (Maven)
La explotación exitosa de la vulnerabilidad podría permitir a un atacante acceder a archivos arbitrarios desde el sistema de archivos del servidor, realizar una falsificación de solicitudes del lado del servidor (SSRF) para interactuar con los sistemas internos o lanzar un ataque de denegación de servicio (DoS) agotando los recursos, dijeron los mantenedores del software de código abierto en una alerta publicada a finales del mes pasado.
Actualmente no hay detalles sobre cómo se aprovecha la vulnerabilidad en ataques del mundo real. Sin embargo, un boletín del 28 de noviembre de 2025 del Centro Canadiense de Seguridad Cibernética decía: “Existe un exploit para CVE-2025-58360”.
Vale la pena señalar que el año pasado varios actores de amenazas explotaron otra falla crítica en el mismo software (CVE-2024-36401, puntuación CVSS: 9.8). Se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) que realicen las correcciones necesarias antes del 1 de enero de 2026 para proteger sus redes.
About The Author
