🇰🇷 한글 설명
Esri Portal for ArcGIS 12.1 이하 버전에 반사형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 원격의 인증되지 않은 공격자가 조작된 링크를 만들어 피해자가 클릭하면 피해자 브라우저에서 임의의 JavaScript 코드가 실행될 수 있습니다. 일반 지원(GA) 및 확장 지원 상태인 ArcGIS Server 11.5 등의 버전에는 패치가 제공되며, 그 외 버전은 패치 대상이 아닙니다.
💡 쉬운 설명
공격자가 만든 특정 링크를 클릭하면 내 웹 브라우저에서 악성 스크립트가 몰래 실행될 수 있습니다. 해당 시스템을 최신 패치 버전으로 업그레이드하면 문제를 해결할 수 있습니다.
🇺🇸 원문 (English)
There is a reflected cross site scripting vulnerability in Esri Portal for ArcGIS versions 12.1 and prior which may allow a remote, unauthenticated attacker to create a crafted link which when clicked could potentially execute arbitrary JavaScript code in the victim’s browser. A patch is provided for impacted ArcGIS Server software in General Availability and Extended support status, which includes versions 11.5. Other versions are in mature or retired status, which are not patch eligible. Users working with unlisted versions are advised to upgrade and apply the patch.
📍 영향받는 시스템
Esri Portal for ArcGIS 12.1 이하 버전 (패치 대상 외 버전은 업그레이드 필요)
⚔️ 공격 벡터
공격자가 조작한 악성 링크를 피해자가 클릭하도록 유도하여 브라우저에서 임의 JavaScript 실행
🛡️ 대응 방법
패치가 제공되는 최신 버전(예: ArcGIS Server 11.5 이상)으로 업그레이드하거나 Esri 제공 보안 패치를 적용
🔧 검증 코드
출력된 버전 번호가 12.1 이하이면 취약하며, Esri 보안 공지에 명시된 패치 적용 버전 이상이면 조치가 완료된 것입니다.
cat /opt/arcgis/portal/framework/etc/version.txt 2>/dev/null || grep -ri 'version' /opt/arcgis/portal/ 2>/dev/null | head -n 5