CVE-2024-25693

Path Traversal w Esri Portal for ArcGIS umożliwiający RCE

CVSS 9.9v3.1pub. 2024-04-04upd. 2025-01-08

W Esri Portal for ArcGIS w wersjach do 11.2 włącznie wykryto podatność typu path traversal (CWE-22) z oceną CVSS 9.9. Zalogowany atakujący zdalnie może wyjść poza dozwolony katalog i uzyskać dostęp do dowolnych plików lub wykonać kod na serwerze.

▸ Pokaż oryginał (EN)

There is a path traversal in Esri Portal for ArcGIS versions <= 11.2. Successful exploitation may allow a remote, authenticated attacker to traverse the file system to access files or execute code outside of the intended directory.

🤖 Analiza AI

Jak działa

Podatność polega na braku odpowiedniej weryfikacji ścieżek plików przekazywanych przez uwierzytelnionego użytkownika do aplikacji. Atakujący może skonstruować specjalnie spreparowane żądanie zawierające sekwencje path traversal (np. '../'), które pozwalają mu opuścić zamierzony katalog roboczy. W efekcie możliwy jest dostęp do plików systemu operacyjnego oraz potencjalnie wykonanie kodu poza dozwolonym obszarem aplikacji.

Skutki

Uwierzytelniony zdalny atakujący może odczytywać poufne pliki systemowe, a także wykonywać kod poza wyznaczonym katalogiem aplikacji, co może prowadzić do pełnego przejęcia kontroli nad serwerem (RCE). Podatność ma zasięg zmieniony (Scope: Changed), co oznacza możliwy wpływ wykraczający poza sam komponent aplikacji.

Mitygacja

Należy zastosować aktualizację bezpieczeństwa Portal for ArcGIS Security 2024 Update 1 dostępną u producenta. Szczegóły patcha opisane są w referencjach na blogu Esri ArcGIS Enterprise. Zaleca się również ograniczenie dostępu do portalu wyłącznie do zaufanych i uwierzytelnionych użytkowników oraz monitorowanie logów pod kątem podejrzanych żądań zawierających sekwencje path traversal.