CVE-2021-29102criticalCWE-918

There is a Server-Side Request Forgery (SSRF) vulnerability in Esri ArcGIS Server Manager version 10.8.1 and below.

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.1epss 1.6%

probabilidade de exploração

1.6%top 27% das CVEs

exploração observada

nãonenhuma fonte reporta

Em resumo

O ArcGIS Server Manager possui uma falha que permite que invasores remotos façam o servidor fazer requisições web para qualquer URL que escolherem. Isso pode ser explorado para varrer a rede ou lançar outros ataques sem necessidade de autenticação.

Detalhe técnico

Uma vulnerabilidade de Server-Side Request Forgery (SSRF) no ArcGIS Server Manager versão 10.8.1 e anteriores permite que atacantes remotos não autenticados enviem requisições malformadas que forçam o servidor a gerar requisições GET arbitrárias para URLs internas ou externas. A falha possibilita reconhecimento de rede e pode facilitar ataques secundários contra sistemas ou serviços internos acessíveis pelo servidor.

Resumo gerado e traduzido por IA a partir da descrição oficial.

A Server-Side Request Forgery (SSRF) vulnerability in ArcGIS Server Manager version 10.8.1 and below may allow a remote, unauthenticated attacker to forge GET requests to arbitrary URLs from the system, potentially leading to network enumeration or facilitating other attacks.

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Produtos afetados

Esri · ArcGIS Server

Referências

https://www.esri.com/arcgis-blog/products/arcgis-enterprise/administration/arcgis-server-security-2021-update-1-patch/