CVE-2021-29102criticalCWE-918

CVE-2021-29102: falha crítica em Esri ArcGIS Server

There is a Server-Side Request Forgery (SSRF) vulnerability in Esri ArcGIS Server Manager version 10.8.1 and below.

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar ArcGIS Server

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.1epss 1.6%
Em resumo

O ArcGIS Server Manager possui uma falha que permite que invasores remotos façam o servidor fazer requisições web para qualquer URL que escolherem. Isso pode ser explorado para varrer a rede ou lançar outros ataques sem necessidade de autenticação.

Detalhe técnico

Uma vulnerabilidade de Server-Side Request Forgery (SSRF) no ArcGIS Server Manager versão 10.8.1 e anteriores permite que atacantes remotos não autenticados enviem requisições malformadas que forçam o servidor a gerar requisições GET arbitrárias para URLs internas ou externas. A falha possibilita reconhecimento de rede e pode facilitar ataques secundários contra sistemas ou serviços internos acessíveis pelo servidor.

Resumo gerado e traduzido por IA a partir da descrição oficial.
A Server-Side Request Forgery (SSRF) vulnerability in ArcGIS Server Manager version 10.8.1 and below may allow a remote, unauthenticated attacker to forge GET requests to arbitrary URLs from the system, potentially leading to network enumeration or facilitating other attacks.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Produtos afetados
Esri · ArcGIS Server
CVEs relacionadas — Esri ArcGIS Server

No mesmo produto, das mais perigosas para as menos.

CVE-2021-29115MEDIUMAn information disclosure vulnerabilityEPSS 2.2%CVE-2022-38202HIGHBUG-000152121 - Directory traversal vulnerability in ArcGIS Server.EPSS 1.4%CVE-2026-9181CRITICALDirectory Traversal in ArcGIS ServerEPSS 1.2%CVE-2022-38196MEDIUMBUG-000150537 - ArcGIS Server has a local file inclusion (LFI) vulnerabilityEPSS 1.2%CVE-2021-29114HIGHSQL injection vulnerability in ArcGIS ServerEPSS 1.0%CVE-2021-29094MEDIUMArcGIS Server image service and raster analytics security update: buffer overflowEPSS 1.0%