PT-2021-18087 · Esri · Arcgis Server

Elwood Buck + 1 · Publicado 2021-06-07 · Atualizado 2022-03-30 · CVE-2021-29099

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

ArcGIS Server versões 10.8.1 e anteriores

Descrição:

Existe uma vulnerabilidade de injeção de SQL em algumas configurações, permitindo que solicitações da Web especialmente criadas exponham informações indesejadas. Isso não afeta os conjuntos de dados dos clientes. Os serviços da Web que utilizam fontes de dados baseadas em arquivos, como geodatabases de arquivo, Shape Files ou serviços de mosaicos em cache, não são afetados por essa vulnerabilidade.

Recomendações:

Para as versões 10.8.1 e anteriores do ArcGIS Server, considere restringir o acesso a dados confidenciais até que uma correção esteja disponível. Como solução alternativa temporária, revise e proteja o tratamento de solicitações da Web para impedir a exploração do problema de injeção de SQL. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-29099

Produtos afetados

Arcgis Server

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2021-29099 · Nota de Segurança
• https://esri.com/arcgis-blog/products/arcgis-enterprise/administration/security-advisory-e21-03-server-sql · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-29099 · Aviso do Fabricante
• https://t.me/cvenotify/15690 · Publicação no Telegram