🚨 Alerta crítica: Se ha identificado una vulnerabilidad de inyección SQL (CVE-2026-76904) en la librería GeoTools, con una puntuación CVSS de 9.8. Afecta a versiones desde 30.5 hasta 33.5 y desde 34.0 hasta 34.4. Se recomienda aplicar los parches disponibles de forma inmediata.
Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-76904 |
| Fabricante | GeoTools (proyecto open source) |
| Producto | GeoTools |
| Fecha de publicación | 21 de agosto de 2026 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-76904 es una vulnerabilidad de inyección SQL que afecta a la librería GeoTools, una biblioteca Java de código abierto utilizada para el manejo de datos geoespaciales. La vulnerabilidad se encuentra en la implementación de la función jsonArrayContains cuando se utiliza con el almacén de datos PostGIS. Esta función escribe el valor proporcionado por el usuario directamente en la consulta SQL sin escaparlo adecuadamente, lo que permite a un atacante inyectar comandos SQL maliciosos.
La vulnerabilidad está clasificada como CWE-89: Neutralización incorrecta de elementos especiales en un comando SQL (Inyección SQL). Requiere que el sistema tenga PostGIS versión 12 o superior y que se utilice un campo de tipo String o JSON.
Productos y versiones vulnerables
Según las fuentes oficiales, las siguientes versiones de GeoTools están afectadas:
| Versión | Estado |
|---|---|
| ≥ 30.5 y < 33.6 | Afectada |
| ≥ 34.0 y < 34.5 | Afectada |
| 35.0 | Afectada |
Las versiones parcheadas son 33.6, 34.5 y 35.1.
Impacto y riesgo
La vulnerabilidad permite a un atacante remoto no autenticado ejecutar comandos SQL arbitrarios en la base de datos PostGIS subyacente. Esto puede resultar en:
- Compromiso de la confidencialidad: Acceso no autorizado a datos sensibles almacenados en la base de datos.
- Compromiso de la integridad: Modificación o eliminación de datos.
- Compromiso de la disponibilidad: Posibilidad de ejecutar comandos que afecten la operación del sistema.
La puntuación CVSS de 9.8 refleja la gravedad máxima, con un vector que indica ataque por red, baja complejidad, sin privilegios requeridos y sin interacción del usuario.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta CVE se ha basado en su publicación reciente, su criticidad (CVSS 9.8) y su relevancia, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu sistema está afectado, verifica la versión de GeoTools que estás utilizando. Si la versión se encuentra dentro de los rangos indicados (≥ 30.5 y < 33.6, ≥ 34.0 y < 34.5, o 35.0), estás en riesgo. Consulta la documentación de tu aplicación o el archivo de manifiesto (por ejemplo, pom.xml en proyectos Maven) para identificar la versión exacta.
Mitigación y actualización
Se recomienda actualizar a las versiones parcheadas lo antes posible:
- Actualizar a GeoTools 33.6, 34.5 o 35.1.
No se ha publicado ninguna solución alternativa (workaround) oficial. Como medida de mitigación adicional, se recomienda configurar el pool de conexiones de PostGIS con permisos limitados para reducir el alcance de una posible inyección SQL.
Checklist para administradores
- ☐ Identificar la versión de GeoTools en todos los sistemas.
- ☐ Actualizar a las versiones parcheadas (33.6, 34.5 o 35.1).
- ☐ Revisar y limitar los permisos de la cuenta de base de datos PostGIS.
- ☐ Monitorear logs de base de datos en busca de actividad sospechosa.
- ☐ Revisar la configuración de OGC Filters y la función
jsonArrayContains. - ☐ Mantenerse informado a través de las fuentes oficiales.
Preguntas frecuentes
¿Qué es GeoTools?
GeoTools es una biblioteca Java de código abierto que proporciona herramientas para el manejo de datos geoespaciales, como formatos, proyecciones y consultas espaciales.
¿Qué versión de PostGIS se requiere para que la vulnerabilidad sea explotable?
La vulnerabilidad requiere PostGIS versión 12 o superior, y un campo de tipo String o JSON.
¿Existe algún parche disponible?
Sí, los parches están disponibles en las versiones 33.6, 34.5 y 35.1 de GeoTools.
¿Hay algún workaround o solución temporal?
No se ha publicado ningún workaround oficial. Como medida de mitigación, se recomienda limitar los permisos de la cuenta de PostGIS.
¿Cómo puedo saber si mi sistema ha sido comprometido?
No se han publicado indicadores de compromiso (IOC) específicos. Se recomienda revisar los logs de base de datos en busca de consultas SQL inusuales o no autorizadas.
¿Afecta esta vulnerabilidad a todas las implementaciones de PostGIS?
Solo afecta a las implementaciones que utilizan la función jsonArrayContains de GeoTools con PostGIS 12 o superior.