🇰🇷 한글 설명
Esri Portal for ArcGIS 12.1 및 이전 버전(Windows, Linux, Kubernetes)에서 비밀번호 복구 메커니즘이 취약하여 발생합니다. 원격의 권한 없는 공격자가 이 메커니즘을 조작하여 특정 사용자의 계정 소유권을 탈취할 수 있습니다.
💡 쉬운 설명
비밀번호를 잊어버렸을 때 찾는 과정에 허점이 있어, 해커가 남의 계정을 가로챌 수 있는 문제입니다. 관리자가 이메일 서버 설정을 올바르게 구성하여 보안을 강화해야 합니다.
🇺🇸 원문 (English)
A Weak Password Recovery Mechanism for Forgotten Password exists in Esri Portal for ArcGIS versions 12.1 and earlier on Windows, Linux and Kubernetes. A remote, unauthorized attacker may assume ownership of a user’s account by manipulating this mechanism. ArcGIS Administrators should configure an email server with ArcGIS Enterprise to facilitate user self-service password recovery. The ability for an administrator to reset a user’s password remains unchanged.
📍 영향받는 시스템
Esri Portal for ArcGIS 12.1 및 이전 버전 (Windows, Linux, Kubernetes)
⚔️ 공격 벡터
비밀번호 복구 메커니즘을 조작하는 원격 공격
🛡️ 대응 방법
ArcGIS Enterprise에 이메일 서버를 구성하여 사용자 셀프 서비스 비밀번호 복구 기능을 안전하게 활성화하십시오.
🔧 검증 코드
출력된 버전 정보가 12.1 이하인지 확인하여 취약 여부를 판단합니다.
curl -s http://<TARGET_HOST>/arcgis/portal/sharing/rest/portals/self | grep -i 'version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux