PT-2022-4367 · Esri · Portal For Arcgis

CVE-2022-38184 · Publicado 2022-08-16 · Atualizado 2023-06-27

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Portal for ArcGIS versões 10.8.1 e anteriores

Descrição

O problema está relacionado a um controle de acesso inadequado no Portal for ArcGIS, o que poderia permitir que um invasor remoto e não autenticado acessasse uma API. Isso pode fazer com que o Esri Portal for ArcGIS leia URLs arbitrárias, levando potencialmente à escalada de privilégios.

Recomendações

Para as versões 10.8.1 e anteriores do Portal for ArcGIS, considere restringir o acesso ao endpoint da API vulnerável até que uma correção esteja disponível. Como solução alternativa temporária, limite a capacidade do Portal for ArcGIS de ler URLs arbitrárias para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Access Control

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-284

CWE-668

Identificadores relacionados

BDU:2022-05227

CVE-2022-38184

Produtos afetados

Portal For Arcgis

Referências · 6

• https://t.me/cibsecurity/48240 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-05227 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-38184 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-38184 · Aviso do Fabricante
• https://esri.com/arcgis-blog/products/arcgis-enterprise/administration/portal-for-arcgis-security-2022-update-1-patch · Aviso do Fabricante
• https://t.me/cvenotify/34731 · Publicação no Telegram