CVE-2022-38211highCWE-918

Server Side Request Forgery (SSRF) vulnerability in Portal for ArcGIS (10.9.1, 10.8.1 and 10.7.1 only)

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.9%

probabilidade de exploração

0.9%top 44% das CVEs

exploração observada

nãonenhuma fonte reporta

Em resumo

O Portal for ArcGIS não bloqueia adequadamente ataques de falsificação de requisições do lado do servidor (SSRF), permitindo que um atacante não autenticado force o servidor a fazer requisições para URLs arbitrárias. Isso pode expor recursos internos da rede ou informações sensíveis que não deveriam ser acessíveis de fora.

Detalhe técnico

Um atacante remoto não autenticado consegue contornar as proteções contra SSRF no Portal for ArcGIS (versões 10.9.1 e inferiores) para forjar requisições HTTP originadas do servidor vulnerável para URLs arbitrárias. Isso possibilita reconhecimento de rede e potencial exfiltração de dados de hosts internos, com impacto significativo na rede conforme CVSS 7.5.

Resumo gerado e traduzido por IA a partir da descrição oficial.

Protections against potential Server-Side Request Forgery (SSRF) vulnerabilities in Esri Portal for ArcGIS versions 10.9.1 and below were not fully honored and may allow a remote, unauthenticated attacker to forge requests to arbitrary URLs from the system, potentially leading to network enumeration or reading from hosts inside the network perimeter, a different issue than CVE-2022-38211 and CVE-2022-38212.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Produtos afetados

Esri · ArcGIS Enterprise

Referências

https://www.esri.com/arcgis-blog/products/trust-arcgis/administration/portal-for-arcgis-security-2022-update-2-patch-is-now-available