CVE-2022-38202highCWE-23

CVE-2022-38202: fallo de gravedad alta en Esri ArcGIS Server

BUG-000152121 - Directory traversal vulnerability in ArcGIS Server.

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ArcGIS Server

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 1.4%
En resumen

Las versiones de ArcGIS Server 10.9.1 y anteriores contienen un fallo de travesía de directorios que permite a atacantes acceder a archivos fuera del directorio previsto sin autenticación. Esto podría exponer información sensible de configuración del servidor.

Detalle técnico

Una vulnerabilidad de path traversal (CWE-23) en ArcGIS Server ≤10.9.1 permite que atacantes remotos no autenticados manipulen rutas de archivo y lean archivos arbitrarios en el servidor. La vulnerabilidad permite la divulgación de datos sensibles de configuración mediante solicitudes HTTP que eluden restricciones de directorios.

Resumen generado y traducido por IA a partir de la descripción oficial.
There is a path traversal vulnerability in Esri ArcGIS Server versions 10.9.1 and below. Successful exploitation may allow a remote, unauthenticated attacker traverse the file system to access files outside of the intended directory on ArcGIS Server. This could lead to the disclosure of sensitive site configuration information (not user datasets).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Productos afectados
Esri · ArcGIS Server
CVEs relacionadas — Esri ArcGIS Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-29115MEDIUMAn information disclosure vulnerabilityEPSS 2.2%CVE-2021-29102CRITICALThere is a Server-Side Request Forgery (SSRF) vulnerability in Esri ArcGIS Server Manager version 10.8.1 and below.EPSS 1.6%CVE-2026-9181CRITICALDirectory Traversal in ArcGIS ServerEPSS 1.2%CVE-2022-38196MEDIUMBUG-000150537 - ArcGIS Server has a local file inclusion (LFI) vulnerabilityEPSS 1.2%CVE-2021-29114HIGHSQL injection vulnerability in ArcGIS ServerEPSS 1.0%CVE-2021-29094MEDIUMArcGIS Server image service and raster analytics security update: buffer overflowEPSS 1.0%