🇰🇷 한글 설명
Esri ArcGIS Server 11.1 이하 버전(Windows 및 Linux)의 일부 구성에서 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 인증되지 않은 원격 공격자가 악성 코드가 포함된 파일을 저장할 수 있으며, 이 코드는 피해자의 브라우저 컨텍스트에서 실행될 수 있습니다. Esri는 12.1, 12.0, 11.5, 11.3, 11.1 버전에 대한 패치를 제공합니다.
💡 쉬운 설명
공격자가 ArcGIS Server에 악성 스크립트가 들어있는 파일을 몰래 저장할 수 있습니다. 이 파일을 열어본 사용자의 브라우저에서 악성 코드가 실행되어 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
There is a stored cross site scripting issue in Esri ArcGIS Server 11.1 and earlier on Windows and Linux that in some configurations allows a remote unauthenticated attacker to store files that contain malicious code that may execute in the context of a victim’s browser. A patch is provided for ArcGIS Server software in General Availability and Extended support status, which includes versions 12.1, 12.0, 11.5, 11.3, and 11.1. Other versions are in mature or retired status, which are not patch eligible. Users working with unlisted versions are advised to upgrade and apply the patch.
📍 영향받는 시스템
Esri ArcGIS Server 11.1 이하 버전 (Windows, Linux 일부 구성)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 악성 코드가 포함된 파일을 서버에 저장한 뒤, 피해자가 이를 열면 브라우저에서 스크립트가 실행됨
🛡️ 대응 방법
ArcGIS Server를 12.1, 12.0, 11.5, 11.3, 11.1 등 패치가 제공되는 버전으로 업그레이드하고 Esri에서 제공하는 패치를 적용
🔧 검증 코드
출력된 버전 정보를 확인하여 11.1 이하 버전이면 취약하며, 12.1, 12.0, 11.5, 11.3, 11.1 패치 버전이면 패치가 적용된 것으로 판단하고, 설치 경로가 다르면 경로를 조정해 실행해야 합니다.
ls /opt/arcgis/server/framework/etc 2>/dev/null; cat /opt/arcgis/server/framework/etc/version.txt 2>/dev/null || grep -r 'version' /opt/arcgis/server/ 2>/dev/null | head -n 5