CVE-2022-38211
Server Side Request Forgery (SSRF) vulnerability in Portal for ArcGIS (10.9.1, 10.8.1 and 10.7.1 only)
Em resumo
O Portal for ArcGIS não bloqueia adequadamente ataques de falsificação de requisições do lado do servidor (SSRF), permitindo que um atacante não autenticado force o servidor a fazer requisições para URLs arbitrárias. Isso pode expor recursos internos da rede ou informações sensíveis que não deveriam ser acessíveis de fora.
Detalhe técnico
Um atacante remoto não autenticado consegue contornar as proteções contra SSRF no Portal for ArcGIS (versões 10.9.1 e inferiores) para forjar requisições HTTP originadas do servidor vulnerável para URLs arbitrárias. Isso possibilita reconhecimento de rede e potencial exfiltração de dados de hosts internos, com impacto significativo na rede conforme CVSS 7.5.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Protections against potential Server-Side Request Forgery (SSRF) vulnerabilities in Esri Portal for ArcGIS versions 10.9.1 and below were not fully honored and may allow a remote, unauthenticated attacker to forge requests to arbitrary URLs from the system, potentially leading to network enumeration or reading from hosts inside the network perimeter, a different issue than CVE-2022-38211 and CVE-2022-38212.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
Esri · ArcGIS EnterpriseQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →