Podatności Esri Portal for ArcGIS

Esri Portal for ArcGIS w wersjach 12.1 i starszych na Windows, Linux i Kubernetes posiada podatność braku uwierzytelniania dla krytycznej funkcji, umożliwiającą zdalnemu, nieuwierzytelnionemu atakującemu dostęp do niezabezpieczonego API.

W Esri Portal for ArcGIS w wersjach 11.4, 11.5 i 12.0 na systemach Windows, Linux oraz Kubernetes występuje luka związana z nieprawidłową autoryzacją, która nie sprawdza poprawnie uprawnień przypisanych do poświadczeń dewelopera.

W Esri Portal for ArcGIS 11.5 na systemy Windows i Linux występuje podatność związana z nieprawidłowym przypisaniem uprawnień, która pozwala użytkownikom z wysokimi uprawnieniami na tworzenie poświadczeń dewelopera, co może skutkować przyznaniem większych uprawnień niż oczekiwano.

W Esri Portal for ArcGIS w wersjach 12.1 i wcześniejszych występuje podatność na odbity cross-site scripting, która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na utworzenie spreparowanego linku, którego kliknięcie może wykonać dowolny kod JavaScript w przeglądarce ofiary. Poprawka jest dostępna dla wersji 12.1, 12.0, 11.5, 11.3 i 11.1.

W Esri Portal for ArcGIS w wersjach 12.1 i starszych występuje podatność typu reflected cross-site scripting (XSS). Zdalny, nieuwierzytelniony atakujący może utworzyć spreparowany link, którego kliknięcie może wykonać dowolny kod JavaScript w przeglądarce ofiary.

W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje podatność na wstrzykiwanie kodu HTML, która pozwala zdalnemu atakującemu z wysokimi uprawnieniami na wstawienie dowolnego kodu HTML do aplikacji Portal for ArcGIS Home. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 powinni zastosować poprawkę. Wszyscy użytkownicy powinni zaktualizować do najnowszej wersji z długoterminowym wsparciem.

W Esri Portal for ArcGIS w wersjach 11.3 i wcześniejszych występuje podatność na wstrzykiwanie kodu HTML, która pozwala zdalnemu atakującemu z uprawnieniami administracyjnymi na wstawienie dowolnego kodu HTML do API administracyjnego. Użytkownicy ArcGIS Enterprise 11.1 i 11.3 powinni zastosować poprawkę. Wszyscy użytkownicy powinni zaktualizować do najnowszej wersji z długoterminowym wsparciem.

W Esri Portal for ArcGIS w wersjach 12.1 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny JavaScript w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3, 11.5, 12.0 lub 12.1 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego i zastosować poprawkę.

W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny kod w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.

W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje odzwierciedlona podatność na skryptowanie między witrynami (reflected XSS), która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na utworzenie spreparowanego linku, który po kliknięciu może potencjalnie wykonać dowolny kod JavaScript w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego. Użytkownicy ArcGIS Web App Builder developer edition są proszeni o migrację do ArcGIS Experience Builder, ponieważ ArcGIS Web App Builder developer edition nie jest wspierany w momencie przypisania tego CVE.

W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami administracyjnymi na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny kod w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.

W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny JavaScript w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.

W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny JavaScript w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.

W Esri Portal for ArcGIS w wersjach 11.5 i wcześniejszych występuje problem przechowywanego skryptowania między witrynami (stored XSS), który może pozwolić zdalnemu atakującemu z uprawnieniami administracyjnymi na wstrzyknięcie złośliwego kodu, potencjalnie wykonującego dowolny kod w przeglądarce ofiary. Użytkownicy ArcGIS Enterprise 11.1, 11.3 i 11.5 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.

W Esri Portal for ArcGIS w wersjach 12.0 i wcześniejszych występuje podatność na wstrzyknięcie HTML, która pozwala zdalnemu, uwierzytelnionemu atakującemu na wstawienie dowolnego HTML do aplikacji Portal for ArcGIS Home. Użytkownicy ArcGIS Enterprise 11.1, 11.3, 11.5 i 12.0 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.

W Esri Portal for ArcGIS w wersjach 12.0 i wcześniejszych występuje podatność na brak uwierzytelnienia, która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na dostęp do konkretnego zasobu (nie będącego treścią użytkownika), który powinien być dostępny tylko dla uwierzytelnionych użytkowników. Użytkownicy ArcGIS Enterprise 11.1, 11.3, 11.5 lub 12.0 są zachęcani do zastosowania poprawki. Wszyscy użytkownicy powinni uaktualnić do najnowszej wersji wsparcia długoterminowego.

Podatność ujawnienia informacji w Esri Portal for ArcGIS w wersjach 11.5 do 12.0 i wcześniejszych. Zdalny, nieuwierzytelniony atakujący może odzwierciedlić wrażliwe informacje w treści odpowiedzi HTTP.

Podatność ujawnienia informacji w Esri Portal for ArcGIS w wersjach 12.0 i wcześniejszych. W trudnych do odtworzenia okolicznościach zdalny, nieuwierzytelniony atakujący może odzwierciedlić wrażliwe informacje w treści odpowiedzi HTTP.

W Esri Portal for ArcGIS w wersjach 12.1 i wcześniejszych na systemach Windows, Linux i Kubernetes wykryto słaby mechanizm odzyskiwania zapomnianego hasła. Zdalny, nieautoryzowany atakujący może przejąć kontrolę nad kontem użytkownika, manipulując tym mechanizmem.

W Esri Portal for ArcGIS 11.4 i wcześniejszych istnieje podatność niezweryfikowanego przekierowania, która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na stworzenie adresu URL przekierowującego ofiarę na dowolną stronę, ułatwiając ataki phishingowe.

W Esri Portal for ArcGIS 11.4 i wcześniejszych istnieje podatność niezweryfikowanego przekierowania, która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na stworzenie adresu URL przekierowującego ofiarę na dowolną stronę, ułatwiając ataki phishingowe.

W Esri Portal for ArcGIS 11.4 i wcześniejszych istnieje podatność na odzwierciedlone cross-site scripting (XSS), która może pozwolić zdalnemu uwierzytelnionemu atakującemu z dostępem administracyjnym na dostarczenie spreparowanego ciągu znaków, który wykona dowolny kod JavaScript w przeglądarce.

W Esri Portal for ArcGIS 11.4 i starszych występuje podatność trwałego Cross-site Scripting (stored XSS), która może pozwolić zdalnemu, uwierzytelnionemu atakującemu na wstrzyknięcie złośliwego pliku z osadzonym skryptem XSS, który po załadowaniu może potencjalnie wykonać dowolny kod JavaScript w przeglądarce ofiary. Wymagane uprawnienia do przeprowadzenia tego ataku są wysokie. Atak może ujawnić uprzywilejowany token, co może skutkować uzyskaniem przez atakującego pełnej kontroli nad Portalem.

W Esri Portal for ArcGIS 11.4 i starszych występuje podatność odbitego Cross-site Scripting (reflected XSS), która może pozwolić zdalnemu, uwierzytelnionemu atakującemu z dostępem administracyjnym na dostarczenie spreparowanego ciągu znaków, który wykona dowolny kod JavaScript w przeglądarce.

W Esri Portal for ArcGIS 11.4 i wcześniejszych istnieje podatność na odzwierciedlone cross-site scripting (XSS), która może pozwolić zdalnemu uwierzytelnionemu atakującemu z dostępem administracyjnym na dostarczenie spreparowanego ciągu znaków, który wykona dowolny kod JavaScript w przeglądarce.

W Esri Portal for ArcGIS 11.4 i wcześniejszych istnieje podatność na odzwierciedlone cross-site scripting (XSS), która może pozwolić zdalnemu uwierzytelnionemu atakującemu z dostępem administracyjnym na dostarczenie spreparowanego ciągu znaków, który wykona dowolny kod JavaScript w przeglądarce.

W Esri Portal for ArcGIS 11.4 i wcześniejszych istnieje podatność niezweryfikowanego przekierowania, która może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu na stworzenie adresu URL przekierowującego ofiarę na dowolną stronę, ułatwiając ataki phishingowe.

W Esri Portal for ArcGIS 11.4 i nowszych wersjach występuje odbita podatność na cross-site scripting (XSS). Zdalny uwierzytelniony atakujący z uprawnieniami administracyjnymi może dostarczyć spreparowany ciąg znaków, który wykona dowolny kod JavaScript w przeglądarce.