CVE-2022-38211highCWE-918

CVE-2022-38211: falha de alta gravidade em Esri ArcGIS Enterprise

Server Side Request Forgery (SSRF) vulnerability in Portal for ArcGIS (10.9.1, 10.8.1 and 10.7.1 only)

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar ArcGIS Enterprise

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.9%
Em resumo

O Portal for ArcGIS não bloqueia adequadamente ataques de falsificação de requisições do lado do servidor (SSRF), permitindo que um atacante não autenticado force o servidor a fazer requisições para URLs arbitrárias. Isso pode expor recursos internos da rede ou informações sensíveis que não deveriam ser acessíveis de fora.

Detalhe técnico

Um atacante remoto não autenticado consegue contornar as proteções contra SSRF no Portal for ArcGIS (versões 10.9.1 e inferiores) para forjar requisições HTTP originadas do servidor vulnerável para URLs arbitrárias. Isso possibilita reconhecimento de rede e potencial exfiltração de dados de hosts internos, com impacto significativo na rede conforme CVSS 7.5.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Protections against potential Server-Side Request Forgery (SSRF) vulnerabilities in Esri Portal for ArcGIS versions 10.9.1 and below were not fully honored and may allow a remote, unauthenticated attacker to forge requests to arbitrary URLs from the system, potentially leading to network enumeration or reading from hosts inside the network perimeter, a different issue than CVE-2022-38211 and CVE-2022-38212.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
Esri · ArcGIS Enterprise
CVEs relacionadas — Esri ArcGIS Enterprise

No mesmo produto, das mais perigosas para as menos.

CVE-2022-38205HIGHPortal for ArcGIS has a directory traversal vulnerability (10.9.1, 10.8.1 and 10.7.1 only)EPSS 1.6%CVE-2022-38212HIGHServer Side Request Forgery (SSRF) vulnerability in Portal for ArcGIS (10.8.1 and 10.7.1 only)EPSS 0.8%CVE-2022-38204MEDIUMReflected XSS vulnerability in Portal for ArcGIS (10.8.1 and 10.7.1 only)EPSS 0.5%CVE-2022-38206MEDIUMReflected XSS vulnerability in Portal for ArcGIS (10.9.1, 10.8.1 and 10.7.1 only)EPSS 0.5%CVE-2022-38210MEDIUMHTML injection in accountswitcher-callback.html (10.9.1, 10.8.1 and 10.7.1 only)EPSS 0.5%CVE-2022-38207MEDIUMReflected XSS vulnerability in Portal for ArcGIS (10.8.1 and 10.7.1 only)EPSS 0.5%