🇰🇷 한글 설명
Windows 및 Linux 기반의 ArcGIS Server 11.5 이하 버전에서 업로드된 파일에 대한 검증이 불충분하여 발생합니다. 원격의 인증되지 않은 공격자가 서버의 지정된 업로드 디렉토리에 임의의 파일을 업로드할 수 있습니다. 다만, 서버 아키텍처가 실행 권한을 제한하고 있어 파일 실행이나 시스템 설정 변경은 불가능합니다.
💡 쉬운 설명
해커가 서버에 허가되지 않은 파일을 몰래 올릴 수 있는 취약점입니다. 하지만 서버가 보안 설정을 통해 올린 파일이 실행되지 않도록 막고 있어 실제 시스템 피해로 이어지기는 어렵습니다.
🇺🇸 원문 (English)
ArcGIS Server versions 11.5 and earlier on Windows and Linux do not sufficiently validate uploaded files, enabling a remote unauthenticated attacker to upload arbitrary files to the server’s designated upload directories.
However, the server’s architecture enforces controls that restrict uploaded files to non‑executable storage locations and prevent modification or replacement of existing application components or system configurations. Uploaded files cannot be executed, leveraged to escalate privileges, or used to access sensitive data.
Because the issue does not enable execution, service disruption, unauthorized access, or integrity compromise, its impact on confidentiality, integrity, and availability is low. Note that race conditions, secret values, or man‑in‑the‑middle conditions are required for exploitation.
📍 영향받는 시스템
ArcGIS Server 11.5 및 이전 버전 (Windows, Linux)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 파일 업로드 기능을 악용하여 임의 파일 업로드
🛡️ 대응 방법
Esri에서 제공하는 최신 보안 패치를 적용하거나 ArcGIS Server를 최신 버전으로 업데이트하십시오.
🔧 검증 코드
서버 응답에서 ArcGIS Server 버전 정보를 확인하여 취약한 버전(11.5 이하)인지 체크합니다.
curl -s https://your-arcgis-server/arcgis/manager/index.html | grep -i 'ArcGIS Server'