CVE-2022-38196: falha de média gravidade em Esri ArcGIS Server
BUG-000150537 - ArcGIS Server has a local file inclusion (LFI) vulnerability
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ArcGIS Server permite que usuários autenticados contornem proteções de diretório e sobrescrevam arquivos internos, podendo derrubar o serviço. O problema ocorre porque a aplicação não valida adequadamente os caminhos de arquivo fornecidos.
Uma vulnerabilidade de path traversal no ArcGIS Server versão 10.9.1 e anteriores permite que atacantes autenticados manipulem caminhos de arquivo usando sequências de travessia de diretório, possibilitando sobrescrita arbitrária de arquivos nos diretórios do ArcGIS Server. A vulnerabilidade requer autenticação prévia e resulta em negação de serviço através da corrupção de arquivos internos críticos.
No mesmo produto, das mais perigosas para as menos.