CVE-2022-38202highCWE-23

CVE-2022-38202: falha de alta gravidade em Esri ArcGIS Server

BUG-000152121 - Directory traversal vulnerability in ArcGIS Server.

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar ArcGIS Server

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 1.4%
Em resumo

Versões do ArcGIS Server 10.9.1 e anteriores possuem uma falha de travessia de diretório que permite que atacantes acessem arquivos fora do diretório previsto sem autenticação. Isso pode expor informações sensíveis de configuração do servidor.

Detalhe técnico

Uma vulnerabilidade de path traversal (CWE-23) no ArcGIS Server ≤10.9.1 permite que atacantes remotos não autenticados manipulem caminhos de arquivo e leiam arquivos arbitrários no servidor. A vulnerabilidade possibilita a divulgação de dados sensíveis de configuração via requisições HTTP que contornam restrições de diretório.

Resumo gerado e traduzido por IA a partir da descrição oficial.
There is a path traversal vulnerability in Esri ArcGIS Server versions 10.9.1 and below. Successful exploitation may allow a remote, unauthenticated attacker traverse the file system to access files outside of the intended directory on ArcGIS Server. This could lead to the disclosure of sensitive site configuration information (not user datasets).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
Esri · ArcGIS Server
CVEs relacionadas — Esri ArcGIS Server

No mesmo produto, das mais perigosas para as menos.

CVE-2021-29115MEDIUMAn information disclosure vulnerabilityEPSS 2.2%CVE-2021-29102CRITICALThere is a Server-Side Request Forgery (SSRF) vulnerability in Esri ArcGIS Server Manager version 10.8.1 and below.EPSS 1.6%CVE-2026-9181CRITICALDirectory Traversal in ArcGIS ServerEPSS 1.2%CVE-2022-38196MEDIUMBUG-000150537 - ArcGIS Server has a local file inclusion (LFI) vulnerabilityEPSS 1.2%CVE-2021-29114HIGHSQL injection vulnerability in ArcGIS ServerEPSS 1.0%CVE-2021-29094MEDIUMArcGIS Server image service and raster analytics security update: buffer overflowEPSS 1.0%